Специалист по информационной безопасности продукта

Разрабатываем АРМ для нотариальных контор: собственную CRM, работу с документами, личный кабинет клиентов и функции ИИ. Продукт проходит доработку и учебные испытания. Готовимся к коммерческим внедрениям и лицензированию ТЗКИ/СЗКИ; лицензии пока не получены. Ищем практикующего специалиста, который лично разберётся в продукте, проверит защиту и организует подготовку к безопасной эксплуатации. Разработчики отвечают за бизнес-функции и исправление кода; вы — за требования безопасности, технические решения, проверку результатов и организацию работ инженеров и профильных подрядчиков.

• Описать архитектуру и движение данных: компьютер нотариуса, база и файлы, личный кабинет, внешние сервисы, ИИ, резервные копии и техническая поддержка.
• Проверить имеющиеся защитные механизмы и результаты испытаний. Подготовить список препятствий к выпуску: риск, воспроизведение, исполнитель, срок и критерий исправления.
• Лично проверять права пользователей, изоляцию клиентов и контор, выдачу документов, историю, журнал действий, административный и удалённый доступ.
• Определить безопасные границы ИИ: допустимые данные, полномочия, подтверждение значимых действий человеком, защита от инструкций во вложениях, обработка ошибок и повторных запросов.
• Совместно с разработчиками внедрить проверку изменений и компонентов, разбирать найденные уязвимости, проверять исправления на конкретной версии.
• Организовать и лично участвовать в испытаниях установки, обновления, отката и восстановления базы и файлов. Измерить время восстановления и возможную потерю последних изменений.
• Подготовить повторяемую установку на рабочем ПК нотариуса: требования к окружению, инструкции, настройки защиты, временные доступы поддержки, критерии приёмки и обучение.
• Вместе с профильным юристом уточнить границы ТЗКИ/СЗКИ и работ подрядчиков; подготовить техническую часть лицензирования, требования к персоналу, оснащению, документации и производственному контролю.
• Подготовить техническое описание поставки: готовые функции, ограничения, необходимые компоненты, порядок обновлений и сопровождения. Необходимые решения по ЕИС, криптографии и допускам проверяются отдельно.
• Проверка каждого выпуска и существенных изменений, заключение о готовности и оставшихся ограничениях.
• Техническая подготовка новых внедрений и проверка результатов установки.
• Разбор значимых сбоев и событий безопасности, организация восстановления и устранения причин.
• Плановые проверки восстановления, прав доступа, уязвимостей компонентов и состояния средств защиты.
• Актуализация документации и требований, постановка задач и приёмка результатов инженеров и подрядчиков.

• Практический опыт безопасности ПО и информационных систем: умение показать на примере проекта свою роль, обнаруженные проблемы, исправления и результаты проверки.
• Умение читать прикладной код, разбирать HTTP/API и SQL-запросы, самостоятельно воспроизводить дефекты авторизации и доступа к данным. Владение хотя бы одним языком для проверочных скриптов.
• Понимание аутентификации, сессий, разграничения прав, защиты файлов и секретов, журналирования и изоляции данных разных организаций.
• Практическое понимание Windows/Linux, сетевых соединений и TLS, баз данных, виртуализации, резервного копирования и восстановления.
• Умение применять анализ кода и зависимостей, сканирование и ручные проверки; отличать реальную уязвимость от ложного срабатывания и описывать ограничения проверки.
• Опыт выпуска, внедрения или сопровождения программного продукта; умение составить программу испытаний и проверить результат исполнителя.
• Умение объяснять владельцу риски, стоимость и приоритеты простым языком, самостоятельно планировать работу и доводить задачи до проверяемого результата.
• Для планируемого руководства лицензируемыми работами — подтверждаемый профильный стаж и образование. Для СЗКИ: высшее по ИБ и стаж соответствующих работ от 5 лет; либо предусмотренное требованиями математическое, естественно-научное, инженерное или техническое высшее и стаж от 7 лет; либо иное высшее, переподготовка по ИБ от 360 аудиторных часов и профильный стаж от 5 лет. Соответствие требованиям ТЗКИ и СЗКИ проверяется отдельно. Общий стаж ИТ не заменяет опыт соответствующих работ.
• Будет плюсом: Опыт подготовки компании к лицензированию ФСТЭК и организации реального производственного контроля; Опыт безопасности систем с конфиденциальными данными, локальных установок у клиентов и личных кабинетов; Опыт Node.js/TypeScript, PostgreSQL и автоматизации проверок выпусков; Практика безопасности ИИ-приложений, анализа вредоносных вложений, динамических испытаний или фаззинга; Опыт постановки задач небольшой команде и приёмки работ внешних специалистов

• Постоянная работа в офисе: Красногорск, Красногорский бульвар, 4, корпус 1.
• Основное место работы, трудовой договор. Базовый график 5/2; рабочие часы и объём обязанностей обсуждаем с кандидатом.
• Уровень оплаты обсуждаем индивидуально. Укажите желаемую зарплату в рублях в месяц до вычета НДФЛ и поясните, на какой объём личной работы и ответственности рассчитаны ожидания.