Руководитель информационной безопасности веб-продукта

Привет! Я Саша, CTO Профи.ру. Наш сервис помогает клиентам находить профессионалов для разных задач, а специалистам — зарабатывать на том, что они умеют и любят делать. У Профи.ру большой и разнородный технологический периметр: веб и мобильные приложения, платёжные сценарии, собственная инфраструктура, внешние интеграции. Продукт постоянно развивается, а вместе с ним появляются новые задачи по безопасности. Хотим системнее работать с рисками и учитывать их ещё на этапе проектирования и разработки.

• Погрузиться в архитектуру продуктов, инфраструктуру, платёжные сценарии и ключевые интеграции Профи.ру.
• Оценить основные риски и вместе с командами определить, какие из них нужно закрывать в первую очередь.
• Сформировать план развития информационной безопасности на год: какие практики стоит усиливать в первую очередь, где достаточно изменить процесс, а где нужны технические решения.
• Участвовать в ревью архитектуры и кода новых функций и интеграций, находить уязвимости и риски в бизнес-логике до выхода изменений в продакшн.
• Развивать практики безопасной разработки и встраивать нужные проверки в CI/CD так, чтобы они помогали разработке, а не превращались в формальный барьер.
• Вместе с инфраструктурной командой усиливать безопасность Kubernetes, сети и управления доступами.
• Проводить и организовывать пентесты, оценивать найденные уязвимости и помогать командам расставлять приоритеты исправлений.
• Продумать подход к рискам, связанным с ИИ: разобраться в новых сценариях использования и определить разумные требования к ним.
• Развивать процессы, необходимые для работы с требованиями партнёров и регуляторов, вместе с юристами и другими командами.
• По мере роста задач определять, какая экспертиза нужна внутри направления, участвовать в найме и постепенно формировать команду.

• Сильный практический опыт в AppSec или Product Security.
• Умеешь проводить ревью архитектуры и кода, находить уязвимости и участвовать в пентестах. Не только выстраиваешь процессы, но и самостоятельно погружаешься в технические задачи.
• Глубокое понимание безопасности веб-приложений и их бизнес-логики.
• Умеешь находить уязвимости, оценивать реальные сценарии атак и определять приоритеты исправлений.
• Знание PHP-экосистемы.
• Значительная часть нашего бэкенда написана на PHP, поэтому важно уметь читать код и понимать характерные для него риски.
• Опыт развития процессов безопасности в продуктовой компании.
• Знаешь, как встроить проверки и требования безопасности в разработку, чтобы они работали на практике.
• Умение договариваться с разными командами.
• Предстоит объяснять риски разработчикам, инфраструктуре, юристам и партнёрам, учитывать их ограничения и вместе находить решения.
• Умение работать с неопределённостью.
• Можешь самостоятельно расставлять приоритеты, выбирать подходы и принимать решения, когда нет готового процесса или однозначного ответа.

• Работай где и когда тебе удобно.
• С первого дня работы ходи в лучшие клиники России, пользуйся телемедициной.
• Оплачиваем курсы, конференции, митапы. Проводим тренинги и хакатоны.
• Платим в рынке или выше. Пересматриваем зарплату и грейд два раза в год.
• Каждое утро омлет, запеканка, каша, авокадо, лосось, сыр и другая вкуснятина.
• Пользуйся электронной библиотекой «Альпина» или бери с книжной полки в офисе.
• Компенсируем до 3450 рублей gross от стоимости заказа на Профи.ру.
• Встречайся с профийцами в любом городе. Компания компенсирует веселье :)
• Оплатим часть стоимости сеансов с психотерапевтом.
• Частично компенсируем любой спорт: фитнес-клуб, занятия с тренером, студии.
• Выбирай коворкинг в любом городе, кроме Москвы (там уже есть классный офис).
• Оплатим нужную мебель и аксессуары для домашнего рабочего места.