Application Security Engineer (AppSec)

Webbankir ищет AppSec Engineer, который будет отвечать за развитие безопасной разработки на уровне всей компании. Вам предстоит работать с разными командами разработки: внедрять практики Secure SDLC, помогать командам встроить безопасность в процессы разработки, автоматизировать проверки и повышать зрелость Application Security.

Вы будете анализировать приложения и архитектуру, работать с артефактами разработки, находить уязвимости, формировать рекомендации по исправлению и сопровождать команды до устранения рисков. Это непрерывный процесс: анализ → рекомендации → исправления → улучшение практик безопасности.

Чем предстоит заниматься:

• Имплементировать и развивать процесс Secure SDLC (SSDLC) в компании: определять требования безопасной разработки, помогать командам их внедрять и контролировать выполнение.
• Взаимодействовать с командами разработки на разных направлениях, консультировать по вопросам Application Security и помогать находить оптимальные решения.
• Внедрять, настраивать и развивать инструменты безопасной разработки (SAST, DAST, SCA/OSA и др.), анализировать результаты их работы.
• Интегрировать инструменты безопасности в CI/CD-процессы, автоматизировать проверки и развивать DevSecOps-подход.
• Проводить анализ безопасности разрабатываемого ПО и архитектуры приложений, выявлять уязвимости и потенциальные риски.
• Контролировать устранение обнаруженных уязвимостей, готовить рекомендации для команд разработки и сопровождать процесс исправления.
• Участвовать в развитии стандартов, методологий и практик безопасной разработки внутри компании.

Наши ожидания:

• Знание OWASP Top 10, OWASP ASVS, Testing Guide, Code Review Guide и других методологий и практик безопасной разработки.
• Понимание современных процессов разработки ПО: Agile, SDLC, CI/CD, DevOps.
• Опыт работы с инструментами SAST, DAST, SCA/OSA и их интеграции в процессы разработки.
• Практический опыт настройки security-проверок в CI/CD, в том числе в GitLab Pipeline.
• Умение писать пайплайны с нуля, работать с include и шаблонами.
• Опыт харденинга Kubernetes (например, CIS Benchmarks) и работы с runtime security решениями для Kubernetes.
• Опыт безопасной настройки Docker-контейнеров: применение security best practices, создание и настройка безопасных образов.
• Умение разбираться в чужом коде (Golang/Python/Bash/SQL).
• Понимание принципов работы современных веб-приложений и технологий: XML-RPC, REST, SOAP, SOP, CORS, HSTS, CSP, OAuth2 и др.

Что мы предлагаем:

• удаленный формат работы;
• предоставляем необходимую технику для комфортной работы;
• скидки и специальные предложения от Prime Zone для сотрудников компании;
• возможность работать с сильной инженерной командой и задачами уровня Middle+ / Senior, где можно влиять на процессы безопасности всей компании;
• обучение за счет компании: поддерживаем развитие экспертизы и помогаем расширять профессиональные навыки;
• возможность влиять на развитие процессов Application Security и внедрять современные практики безопасной разработки.