Инженер по безопасности приложений

Ведущий российский фармацевтический производитель, в связи с развитием направления информационной безопасности, приглашает в свою команду Инженера по безопасности приложений / DevSecOps.

• Выстраивать и развивать направление Application Security и практики безопасной разработки практически с нуля, интегрируя требования ИБ в жизненный цикл создания и сопровождения приложений
• Формировать единый подход к безопасности веб-приложений, API, мобильных решений и интеграций с внутренними системами
• Участвовать в создании централизованного технологического контура разработки и DevSecOps: Git-платформа, CI/CD, хранилища артефактов и контейнеров, типовые пайплайны и другие необходимые компоненты
• Встраивать автоматизированные проверки безопасности в процессы CI/CD и развивать security-gates перед выпуском изменений
• Настраивать и сопровождать инструменты SAST, SCA, DAST, Secret Scanning, проверки контейнеров и IaC, обеспечивая их использование командами разработки
• Разрабатывать унифицированные шаблоны пайплайнов и механизмы подключения проверок, чтобы команды могли использовать готовые безопасные практики без индивидуальной настройки каждого проекта
• Анализировать результаты сканирований, подтверждать реальные уязвимости, выявлять ложные срабатывания и совместно с разработчиками определять приоритеты и способы устранения
• Участвовать в оценке архитектуры новых и модернизируемых информационных систем с позиции информационной безопасности, в том числе проводить анализ изменений и отдельных компонентов приложений
• Формировать требования и технические стандарты по безопасной разработке для разработчиков и DevOps-команд
• Участвовать в моделировании угроз и применении принципов secure-by-design для критичных систем и значимых изменений
• Контролировать устранение критических и высоких уязвимостей, отслеживать соблюдение установленных сроков их устранения
• Участвовать в оценке безопасности решений, создаваемых внешними командами разработки, а также используемых сторонних компонентов
• Развивать практики безопасного управления секретами, токенами, ключами и техническими учетными данными в процессе разработки
• Участвовать в расследовании инцидентов, связанных с приложениями, API и цепочкой разработки
• Формировать и отслеживать показатели эффективности AppSec: охват репозиториев проверками, количество и сроки устранения уязвимостей, соблюдение SLA, исключения и накопленный технический долг
• Самостоятельно доводить технические инициативы от выбора подхода и инструмента до его внедрения и формирования работающего процесса

• От 3 лет опыта в Application Security, DevSecOps, DevOps, информационной безопасности разработки или смежном техническом направлении
• Практический опыт обеспечения безопасности приложений и понимание основных принципов Secure SDLC
• Знание типовых уязвимостей веб-приложений и API, понимание OWASP Top 10 и OWASP API Security Top 10
• Практический опыт работы с инструментами автоматизированного анализа безопасности кода, зависимостей, приложений, секретов, контейнеров или IaC. Важно наличие реального опыта настройки и применения таких инструментов, а не только формирования требований к ним
• Хорошее понимание CI/CD и опыт самостоятельной интеграции инструментов безопасности в пайплайны
• Опыт работы с Git-платформами (GitLab, GitHub, Bitbucket или аналогами)
• Понимание принципов построения централизованной платформы разработки, работы репозиториев артефактов и контейнеров
• Понимание Docker и современных подходов к сборке и доставке приложений; опыт работы с Kubernetes, Helm, Terraform будет полезен
• Практический опыт работы хотя бы с одним open-source инструментом в области Application Security / DevSecOps и готовность самостоятельно разбираться и внедрять новые решения
• Умение самостоятельно анализировать результаты сканирования, отделять реальные уязвимости от ложных срабатываний и определять приоритеты исправлений
• Понимание механизмов аутентификации и авторизации, управления сессиями, OAuth 2.0 / OIDC и принципов безопасности API
• Способность обсуждать технические риски и способы устранения уязвимостей непосредственно с разработчиками
• Понимание принципов threat modeling и подхода secure-by-design
• Готовность самостоятельно развивать новое направление: от выбора инструментария и формирования стандартов до внедрения решений и выстраивания процессов
• Будет плюсом: Навыки программирования или уверенного чтения кода на распространённых языках (Python, Java, JavaScript/TypeScript, C#, Go и др.) будут преимуществом

• Работа в ведущей российской фармацевтической компании
• Роль с высокой степенью самостоятельности и возможностью фактически сформировать направление Application Security / DevSecOps внутри компании
• Работа над созданием единого контура безопасной разработки и внедрением DevSecOps-практик
• Официальное трудоустройство и стабильная работа в крупной производственной компании
• Гибридный формат работы: 4 дня в офисе, 1 день удалённо
• ДМС и дополнительные корпоративные программы страхования.