описание
Описания нет
задачи
- Разрабатывать процессы, руководства, критерии по безопасной разработке, архитектурные требования, чек-листы для продуктовых команд.
- Создавать и развивать программу амбассадоров безопасности внутри продуктовых команд и команд разработки (Security Champions) и проводить тренинги по безопасной разработке.
- Внедрять практику моделирования угроз и оценки рисков на этапе проектирования новых сервисов и фич, участвовать в security review архитектуры.
- Встраивать проверки безопасности в различные этапы жизненного цикла ПО - от проектирования до релиза, включая интеграцию SAST/SCA/DAST в CI/CD.
- Внедрять и использовать инструменты SAST/SCA/DAST, системы управления уязвимостями, управлять политиками сканирования и кастомными правилами.
- Разрабатывать метрики эффективности направления, формировать отчетность и дашборды.
- Развивать смежные проверки - поиск секретов, IaC scanning, container/image scanning, генерация SBOM, контроль цепочки поставок и т.п.
- Разбирать результаты работы SAST/DAST/SCA, фильтровать ложные срабатывания, подтверждать реальные уязвимости, оценивать их эксплуатируемость и приоритизировать с учётом бизнес-контекста и критичности сервиса.
- Ставить задачи на устранение выявленных недостатков в тикетинг системе/трекерах разработки (Jira и т.п.), контролировать соблюдение сроков, проводить проверку исправлений, оформлять принятие остаточных рисков с описанием компенсирующих мер.
- Настраивать работу сканеров (разрабатывать правила и управлять политиками), интегрировать в CI/CD-пайплайны и выстраивать quality gates с блокирующими критериями при этом учитывать скорость разработки и стоимость проверок, следить за стабильностью инфраструктуры AppSec.
- Помогать продуктовым командам и разработчикам в разборе сложных уязвимостей и поиске оптимальных способов устранения без потери производительности кода.
- Планировать и сопровождать внешние пентесты, разбирать результаты и организовывать устранение выявленных недостатков.
- Точечно проверять критически важные изменения, новые архитектурные решения и сторонние интеграции в рамках проверок безопасности (security review).
- Участвовать в триаже критичных находок совместно с доменами VM/EASM/WAF и защиты данных, эскалировать спорные решения владельцам.
требования
- Опыт 2–4 года в AppSec / DevSecOps / безопасной разработке.
- Опыт работы с продуктовыми командами.
- Практический опыт внедрения и настройки SAST, SCA и DAST.
- Опыт интеграции проверок безопасности в CI/CD и настройки quality gates.
- Опыт координации или проведения пентестов.
- Опыт построения процессов и стандартов безопасной разработки, работы с Security Champions.
- Знание OWASP Top 10, OWASP ASVS, CWE, CVSS, SDLC, secure by design.
- Устройство SAST/SCA/DAST: возможности, ограничения, типовые ложные срабатывания.
- Знание принципов SBOM, управления зависимостями и цепочкой поставок
- Threat modeling и процессы управления уязвимостями.
- Знание метрик AppSec / DevSecOps и подходов к оценке зрелости процессов.
- Высшее техническое образование в сфере информационных технологий или информационной безопасности, предпочтительно профильное образование по информационной безопасности.
- Английский разговорный и письменный на уровне Intermediate.
- Будет плюсом: Сертификации: OSWE, OSCP, OSWA, BSCP, CSSLP, CompTIA Security+; Дополнительное обучение по AppSec, DevSecOps
условия
- Возможность профессионального и карьерного роста в международной компании;
- Комфортный и современный офис, корпоративный транспорт (от м. Войковская, Речной вокзал, Алтуфьево, ж/д станции Химки);
- Возможность приобрести опыт работы с коллегами из других стран;
- Полис ДМС;
- Страхование от несчастного случая и болезней;
- Частичная компенсация питания в корпоративной столовой;
- Скидки на изучение английского языка, корпоративная программа по изучению английского языка для сотрудников, которым он необходим для работы;
- Дополнительные дни оплачиваемого отпуска, доплата по листам нетрудоспособности;
- Скидки на покупки в Торговых Центрах Компании;
- Специальные предложения от банков, фитнес-клубов и других партнёров.
