Information security engineer in e-commerce

Привет! Overgear — международная e-commerce платформа для геймеров. Мы помогаем игрокам экономить время, а профессиональным игрокам — зарабатывать на своей экспертизе. С 2017 года мы строим продукт для глобального рынка, в первую очередь США и Европы. Overgear доверяют пользователи по всему миру: у нас 34 000+ отзывов на Trustpilot с рейтингом 4.9/5, а сайт ежемесячно посещают 300 000+ пользователей. Сейчас мы ищем Senior Information Security Engineer — специалиста по информационной безопасности в Overgear, который возьмёт ownership за безопасность продукта и инфраструктуры: оценит текущие риски, выстроит процессы защиты и поможет сделать безопасность неотъемлемой частью разработки.

• Оценить текущее состояние информационной безопасности, определить ключевые риски и сформировать roadmap развития ИБ на год
• Находить и устранять уязвимости в веб-приложениях и API (REST, GraphQL), включая бизнес-логику платежей, заказов и выплат
• Усиливать безопасность инфраструктуры: Cloudflare / WAF, Kubernetes, внутренние сервисы, админ-панели, SSO и управление секретами
• Выстроить процессы обнаружения и реагирования на инциденты: логирование, мониторинг, алерты, расследования и postmortem
• Интегрировать безопасность в процессы разработки: проверки в CI/CD, безопасность зависимостей и цепочки поставок, стандарты безопасной разработки и работы с AI-агентами
• Вместе с антифрод-командой защищать аккаунты клиентов и исполнителей от взломов, фишинга, мошенничества и компрометации выплат
• Управлять безопасностью доступов сотрудников и подрядчиков: MFA, SSO, управление правами и своевременный отзыв доступов
• Организовывать внешние пентесты, выстраивать процесс обработки сообщений об уязвимостях и повышать осведомлённость команд о безопасности

• Опыт от 4 лет в AppSec, Product Security, Cloud Security, пентесте либо разработке / DevOps с сильной экспертизой в безопасности
• Глубокое практическое понимание OWASP Top 10, API Security Top 10, включая уязвимости бизнес-логики, которые сложно обнаружить автоматическими сканерами
• Умение читать и писать код: в приоритете TypeScript / Node.js, опыт написания скриптов на Python или Go
• Опыт работы с Linux, Docker, Kubernetes, облачными и edge-сервисами (Cloudflare, AWS или аналоги), понимание сетей и TLS
• Знание OAuth 2.0 / OIDC, принципов аутентификации, авторизации и типичных ошибок их реализации
• Практический опыт расследования инцидентов: анализ логов, восстановление таймлайна, сдерживание угроз и postmortem
• Способность самостоятельно оценивать риски, определять приоритеты и аргументировать технические решения команде разработки и бизнесу
• Русский язык — свободный рабочий, английский — от B2
• Будет плюсом: Опыт в e-commerce, fintech, marketplaces или gaming, особенно в задачах антифрода, защиты платежей, KYC и chargebacks; Участие в bug bounty, обнаружении CVE, CTF или выступлениях на профильных конференциях; Опыт с IAM/SSO, GraphQL, Next.js, low-code платформами и системами мониторинга / детекта (Grafana/Loki, Datadog, SIEM); Понимание рисков LLM и AI-агентов, практический опыт с PCI DSS и GDPR

• В Overgear ты сможешь не просто поддерживать существующие политики безопасности, а самостоятельно построить ИБ-направление и увидеть реальное влияние своих решений на бизнес.
• У нас высокая, но понятная планка. Мы доверяем экспертизе людей, даём пространство для самостоятельных решений и ценим ownership, системное мышление и измеримый результат.
• Реальный масштаб — международный e-commerce продукт с 300 000+ посетителей сайта ежемесячно и сложными задачами на стыке технологий, платежей и безопасности
• Влияние на продукт и процессы — возможность выстроить безопасность с нуля, определять технические приоритеты и работать напрямую с CTO
• Автономность и доверие — свобода предлагать решения, выбирать инструменты и отвечать за результат в своей зоне
• Automation & AI-first подход — мы активно внедряем AI и автоматизацию в бизнес-процессы и инженерную работу, создавая новые интересные задачи в области безопасности
• Сильная команда — профессиональная среда с прямым фидбеком, быстрыми коммуникациями и уважением к экспертизе друг друга
• Remote-first формат — полная удалёнка с пересечением по времени ±3 часа от МСК
• Гибкий формат оплаты — возможность получать вознаграждение в EUR / USD / RUB / USDT.