Инженер AppSec продуктовой безопасности

ЗАО «НОРСИ-ТРАНС» является аккредитованной организацией, осуществляющей деятельность в области информационных технологий. Мы занимаемся разработкой и внедрением информационно-аналитических систем. Реализуем импортозамещение в области серверного и телекоммуникационного оборудования, а также разрабатываем масштабные программные комплексы. Сейчас мы в поиске Инженер AppSec (Product Security) в нашу команду

• Risk tier продуктов/сервисов; шаблоны требований безопасности (в т.ч. authn/authz, данные, логи, секреты в коде);
• Моделирование угроз с артефактом, который команда может поддерживать;
• Security architecture review: границы доверия, данные, интеграции;
• Участие в design review / ADR с вопросами ИБ до большой разработки, не после релиза;
• Помощь командам в разборе сложных SCA/SAST findings (бизнес-контекст, риск);
• Secure coding guidelines совместно с инженерами appsec и командой разработки;
• Консультации по работе с секретами на уровне продукта.

• Умение читать архитектуру (API, микросервисы, веб, очереди - по стеку компании);
• Практика threat modeling (STRIDE или аналог) с понятным результатом для разработки;
• Знание OWASP Top 10 / ASVS (или аналог) на уровне применения в требованиях;
• Понимание auth: сессии, JWT/OAuth2/OIDC, RBAC/ABAC - типовые ошибки;
• Опыт code-assisted review;
• Умение объяснить риск владельцу продукта.
• Будет плюсом: Понимание и умение читать языки программирования (Java/Go/Python/JS/.NET), OpenAPI, keycloak/IdP, понимание контейнеров на уровне угроз

• Конкурентную заработную плату, соответствующую вашему опыту и навыкам;
• Работу в аккредитованной ИТ-компании;
• Возможность профессионального роста и развития;
• Офис в шаговой доступности от ст.метро Савёловская;
• Работу в технологичном коллективе, где ценится ваш вклад и идеи.