AppSec-инженер

Timeweb Cloud — это облако, которое не стоит на месте. Мы создаем масштабную экосистему ИТ-сервисов — от надежной базовой инфраструктуры (IaaS) до готовых PaaS- и SaaS-решений, включая инновационные AI-технологии.

Продукт сложный и технически интересный, мы растем вдвое быстрее рынка, а наши ребята — лучшие эксперты в своих областях.

Сейчас мы ищем в нашу команду AppSec-инженера. Значимая часть твоей роли - работа с bug bounty: триаж отчетов от внешних исследователей и помощь в устранении найденных уязвимостей.

Мы предлагаем нашей команде

Забота и здоровье

• Мы IT аккредитованы и оформляем официально

• ДМС, компенсация спорта, питания и психолога

• Бонусные средства на личный аккаунт Timeweb Cloud для пет-проектов

Свобода и баланс

• Выбираешь сам: работать удаленно или в гибридном формате

• Каждый квартал дарим два дополнительных оплачиваемых выходных

Рост и культура

• Карьерный рост здесь не ждёт твоего запроса – мы замечаем людей и даем пространство для развития

• Можешь выступать на конференциях и делиться экспертизой публично – это приветствуется

• Внутри компании: участвуем в забегах, устраиваем кибертурниры, собираемся клубом настолок и не только

• Вести триаж отчетов по программам bug bounty на площадках Standoff 365 и BI.ZONE Bug Bounty: оценка валидности и severity, отсев дублей и false positive, коммуникация с исследователями.
• Помогать командам разработки с устранением уязвимостей, найденных через bug bounty: от объяснения сути проблемы до проверки корректности фикса.
• Поддерживать взаимодействие с исследователями программы: отвечать на вопросы по статусу отчетов, эскалировать спорные и сложные кейсы.
• Управлять уязвимостями в целом: от регистрации до подтверждения исправления, работая с находками из разных источников (security scanners, bug bounty и др.).
• Развивать процессы Secure SDLC: тюнинг SAST в CI/CD, снижение false positive, приоритизация находок, написание кастомных правил под Go и Python.
• Проводить код-ревью и анализ архитектуры на предмет уязвимостей (OWASP Top 10 и шире).
• Консультировать команды разработки: объяснять риски, участвовать в обучении основам secure coding.
• Развивать процесс взаимодействия с разработчиками по устранению уязвимостей: SLA, трекинг, эскалации.
• Участвовать в пилотировании AI/LLM-инструментов в AppSec-процессах: ревью кода, триаж находок, detection engineering.