Head of DevSecOps

Компания PIM Solutions ищет inhouse DevSecOps Lead. Прямое подчинение CTO, работа со всеми командами — разработкой, эксплуатацией и SRE. Мы сильно выросли: раньше был «десяток инстансов и тройка железок», а теперь — три облака, пара десятков Kubernetes-кластеров, 400+ виртуальных машин, 300+ репозиториев и десятки проектов на PHP, Scala, C# и Python, с фронтендом на Vue и React. PCI DSS из пункта «помочь получить» стал частью повседневной работы, а к нему добавился ГОСТ Р 57580. Нужен человек, который выстроит DevSecOps в компании: безопасность — не отдел с запретами, а часть того, как всё строится и деплоится.

• Выстроить DevSecOps-направление: стратегия, роадмап и приоритеты — и довести их до работающих практик
• Перестроить SDLC под требования ИБ: безопасность закладывается ещё на этапе постановки задачи, дальше — моделирование угроз для значимых изменений, security review, проверки в пайплайне и контроль перед выходом в прод
• Помогать проходить аудиты PCI DSS и ГОСТ Р 57580: поддерживать контур, собирать доказательства, закрывать замечания аудиторов — чтобы аудит был проверкой того, что мы и так делаем каждый день, а не авралом
• Сканирование на всех уровнях: SAST, SCA, DAST, сканирование образов, IaC и инфраструктуры для PHP, Scala, C#, Python и фронтенда — общими шаблонами GitLab CI на все 300+ репозиториев, а не 300 самописными вариантами. И так, чтобы разработчики не мечтали это отключить
• Управление уязвимостями от обнаружения до закрытия — с приоритетами, а не отчётом на 300 страниц
• Безопасный Kubernetes: RBAC, сетевые политики, admission-политики, образы только из доверенных реестров — одинаково во всех двух десятках кластеров
• Безопасность данных и платформ: доступы к данным в Data Mesh, безопасные настройки по умолчанию для приложений на ZeroCode-платформе
• Внедрить WAF с нуля перед публичными сервисами: выбрать решение, настроить правила под наши приложения — и не блокировать легитимных клиентов
• Процедуры ИБ — доступы, изменения, инциденты, уязвимости — написать и внедрить так, чтобы их выполняли каждый день, а не доставали к аудиту
• Повышать уровень безопасности кода, как культуру в компании: регулярные короткие обучения, понятные памятки
• Обучение secure coding для разработчиков: OWASP Top 10 на примерах из нашего же кода
• Работать вместе с SRE: общий мониторинг и алертинг в Prometheus, Grafana и ELK, по которым видно не только падения, но и подозрительную активность; общий разбор инцидентов; изменения, которые делают систему и надёжнее, и безопаснее, а не одно за счёт другого
• Быть связующим звеном между разработкой, эксплуатацией, SRE и CTO: постоянная коммуникация со всеми командами, предложение современных решений, автоматизация всего-всего
• Для легаси, которое быстро не переписать, — компенсирующие меры, чтобы старый код не был самым слабым местом
• Единые правила во всех трёх облаках
• Секреты — только в Vault, а не в репозиториях и переменных окружения «на время»
• Там, где плохо, чтоб было хорошо! А там, где хорошо, — чтоб было безопасно.

• любить свою профессию
• уметь: чётко изъясняться, ставить правильные вопросы, искать эффективные решения поставленных задач, самостоятельно восполнять недостающие знания, постоянно самообучаться
• у вас есть опыт работы релевантный DevSecOps 1-2 года
• опыт выстраивания процессов ИБ — Secure SDLC, процедуры, обучение сотрудников — таких, которыми реально пользуются (Best practice по безопасной разработке)
• умение договариваться с разными командами (dev, ops, SRE) и влиять без прямого подчинения: убеждать аргументами, а не регламентами
• умение объяснять безопасность простым языком — и разработчику, и бухгалтерии
• умение приоритизировать риски и защищать решения: с CTO — на языке рисков и денег, с разработчиками — на языке кода
• опыт работы с публичными облаками (Google Cloud, Yandex Cloud, Selectel или аналогичными): IAM, VPC, сетевые политики, managed-сервисы
• Infrastructure as Code: Terraform, Ansible или аналоги
• опыт защиты Docker и Kubernetes
• опыт построения CI/CD и встраивания в него сканеров безопасности (SAST, DAST, SCA, сканирование образов и IaC, поиск секретов в коде)
• опыт работы с WAF: внедрение, настройка правил, разбор ложных срабатываний
• опыт работы с HashiCorp Vault (или аналогами) и PKI/TLS
• практики безопасности на деле, а не в презентации: наименьшие привилегии, сегментация сети, харденинг, шифрование at rest / in transit, управление уязвимостями
• опыт работы с мониторингом, логами и алертингом (Prometheus, Grafana, ELK или аналоги)
• опыт программирования на скриптовых языках (bash, python, etc.)
• умение перенимать опыт коллег и делиться с ними собственным.
• Будет плюсом: опыт администрирования Linux — знание подсистем на хорошем уровне(диск, сеть, файлы, процессы и т. д.) — и понимание, как их защищают и как их ломают; опыт подготовки и прохождения аудитов: PCI DSS (сегментация CDE, ASV-сканы, пентесты) и ГОСТ Р 57580; опыт с другими стандартами и регуляторикой (ISO 27001, 152-ФЗ); опыт построения DevSecOps- или security-функции с нуля; опыт запуска security awareness-программ: обучение, учебные фишинговые рассылки; опыт найма и развития инженеров; понимание сборки и зависимостей в JVM (Scala, sbt), .NET (C#), Python и npm; опыт с SIEM, IDS/IPS и runtime-защитой контейнеров (Falco или аналоги); сертификация CKS; опыт мультиоблачной / гибридной инфраструктуры и связности между облаками

• гибридный формат: офис в Москве у метро «Краснопресненская»
• официальное оформление по ТК РФ. ЗП в зависимости от компетенций