DevSecOps-специалист в безопасной разработке

Компания АО «НПО «Эшелон» (является аккредитованной IT-компанией) специализируется на оказании услуг по сертификации, аттестации и лицензировании, а также разрабатывает собственные инструменты анализа кода и тестирования безопасности программного обеспечения.

• Проектирование, настройка и сопровождение безопасного конвейера CI/CD для команд, разрабатывающих инструменты анализа кода и тестирования.
• Встраивание в конвейер инструментов статического и композиционного анализа, поиска секретов в коде, динамического анализа и фаззинг-тестирования, в том числе инструментов собственной разработки компании.
• Настройка security gates на этапах слияния изменений и выпуска версий, формирование критериев их прохождения совместно с командой разработки.
• Развёртывание, настройка и сопровождение инфраструктуры разработки и инструментов анализа (системы контроля версий, сборочные агенты, репозитории артефактов, системы управления дефектами).
• Обеспечение безопасности самого конвейера, включая изоляцию сборочных агентов, управление секретами, разграничение доступа, контроль целостности и подпись выпускаемых артефактов.
• Организация и регулярное обновление локальных зеркал репозиториев зависимостей и баз данных уязвимостей для работы в изолированном контуре.
• Автоматизация формирования перечня заимствованных компонентов (SBOM), сбора и агрегации результатов анализа, оповещения ответственных о выявленных дефектах.
• Подготовка тестовых стендов и окружений, контейнеризация сервисов и описание инфраструктуры в виде кода.
• Апробация собственных инструментов компании в реальном конвейере и передача обратной связи командам разработки.
• Участие во внедрении процессов безопасной разработки по ГОСТ Р 56939-2024 и подготовке артефактов, подтверждающих их выполнение.
• Документирование конфигурации конвейера, подготовка инструкций и консультирование разработчиков.

• Высшее/неоконченное техническое образование.
• Практический опыт построения и сопровождения конвейеров CI/CD (GitLab CI, Jenkins или аналоги).
• Уверенные навыки администрирования Linux, в том числе отечественных дистрибутивов (Astra Linux, РЕД ОС, Альт).
• Понимание сетевых технологий (TCP/IP, DNS, HTTP, VPN) и принципов сегментации сети.
• Опыт работы с контейнеризацией и оркестрацией (Docker, Kubernetes), а также с инструментами описания инфраструктуры в виде кода (Ansible, Terraform или аналоги).
• Опыт встраивания в конвейер инструментов анализа безопасности (SAST, SCA, DAST, поиск секретов) и работы с их результатами.
• Опыт работы с репозиториями артефактов (Nexus, Artifactory или аналоги) и системами управления секретами (HashiCorp Vault или аналоги).
• Понимание систем сборки (Make, CMake, Maven, Gradle и др.) и уверенная работа с Git.
• Навыки написания скриптов автоматизации на Bash и Python.
• Умение документировать технические решения и доступно объяснять их разработчикам.
• Будет плюсом: Знание ГОСТ Р 56939-2024, ГОСТ Р 71207-2024 и требований ФСТЭК России к безопасной разработке программного обеспечения; Опыт работы в изолированных контурах без доступа к сети Интернет; Опыт работы с системами агрегации результатов анализа и управления уязвимостями (DefectDojo или аналоги); Опыт настройки фаззинг-тестирования в конвейере (libFuzzer, AFL++); Опыт работы с системами мониторинга (Prometheus, Grafana, Zabbix); Знание английского языка на уровне чтения технической документации; Желание участвовать в развитии собственных инструментов анализа кода и тестирования

• Интересную работу в дружелюбном молодом коллективе с адекватным менеджментом.
• Участие в интересных проектах и задачах, связанных с информационной безопасностью, включая развитие собственных инструментов анализа кода и тестирования.
• Прозрачную и понятную финансовую мотивацию (оклад + премиальная часть от выполненного проекта), а также возможность карьерного роста.
• Возможность участия в проведении обучающих мероприятий и консультаций для заказчиков (с дополнительной оплатой).
• Индивидуальный график работы (8:00-17:00; 9:00-18:00; 10:00-19:00).
• Официальное трудоустройство в соответствии с ТК РФ (оплачиваемый отпуск, больничный).
• Оплату мобильной связи.
• Частичную компенсацию ДМС и абонемента в фитнес-клуб.
• Корпоративную пенсионную программу (дополнительные перечисления взносов работодателем в НПФ).
• Возможность внутреннего обучения, повышения квалификации в учебном центре компании.
• Возможность профессионального роста и самореализации, введение в рабочий процесс новых подходов и методик.