Ведущий специалист по информационной безопасности / руководитель безопасности продукта

О проекте
Разрабатываем АРМ для нотариальных контор: собственную CRM, работу с документами, личный кабинет клиентов и функции ИИ. Продукт проходит доработку и учебные испытания. Готовимся к коммерческим внедрениям и лицензированию ТЗКИ/СЗКИ; лицензии пока не получены.

Ищем практикующего специалиста, который лично разберётся в продукте, проверит защиту и организует подготовку к безопасной эксплуатации. Разработчики отвечают за бизнес-функции и исправление кода; вы — за требования безопасности, технические решения, проверку результатов и организацию работ инженеров и профильных подрядчиков. Состав команды формируется по реальным задачам.

Что предстоит сделать до первых внедрений
• Описать архитектуру и движение данных: компьютер нотариуса, база и файлы, личный кабинет, внешние сервисы, ИИ, резервные копии и техническая поддержка.
• Проверить имеющиеся защитные механизмы и результаты испытаний. Подготовить список препятствий к выпуску: риск, воспроизведение, исполнитель, срок и критерий исправления.
• Лично проверять права пользователей, изоляцию клиентов и контор, выдачу документов, историю, журнал действий, административный и удалённый доступ.
• Определить безопасные границы ИИ: допустимые данные, полномочия, подтверждение значимых действий человеком, защита от инструкций во вложениях, обработка ошибок и повторных запросов.
• Совместно с разработчиками внедрить проверку изменений и компонентов, разбирать найденные уязвимости, проверять исправления на конкретной версии.
• Организовать и лично участвовать в испытаниях установки, обновления, отката и восстановления базы и файлов. Измерить время восстановления и возможную потерю последних изменений.
• Подготовить повторяемую установку на рабочем ПК нотариуса: требования к окружению, инструкции, настройки защиты, временные доступы поддержки, критерии приёмки и обучение.
• Вместе с профильным юристом уточнить границы ТЗКИ/СЗКИ и работ подрядчиков; подготовить техническую часть лицензирования, требования к персоналу, оснащению, документации и производственному контролю.
• Подготовить техническое описание поставки: готовые функции, ограничения, необходимые компоненты, порядок обновлений и сопровождения. Необходимые решения по ЕИС, криптографии и допускам проверяются отдельно.

Первые результаты
В первый месяц ожидаем проверенную схему продукта и потоков данных, приоритетный план исправлений, программу испытаний и понятную оценку ресурсов. По доступным задачам — воспроизведённые дефекты и проверенные исправления. Срок готовности к продаже определяется после оценки; обещания выпустить весь продукт за месяц нет. Подготовительные испытания проводим на вымышленных данных.

Работа после запуска
• Проверка каждого выпуска и существенных изменений, заключение о готовности и оставшихся ограничениях.
• Техническая подготовка новых внедрений и проверка результатов установки.
• Разбор значимых сбоев и событий безопасности, организация восстановления и устранения причин.
• Плановые проверки восстановления, прав доступа, уязвимостей компонентов и состояния средств защиты.
• Актуализация документации и требований, постановка задач и приёмка результатов инженеров и подрядчиков.

Обязательные навыки
• Практический опыт безопасности ПО и информационных систем: умение показать на примере проекта свою роль, обнаруженные проблемы, исправления и результаты проверки.
• Умение читать прикладной код, разбирать HTTP/API и SQL-запросы, самостоятельно воспроизводить дефекты авторизации и доступа к данным. Владение хотя бы одним языком для проверочных скриптов.
• Понимание аутентификации, сессий, разграничения прав, защиты файлов и секретов, журналирования и изоляции данных разных организаций.
• Практическое понимание Windows/Linux, сетевых соединений и TLS, баз данных, виртуализации, резервного копирования и восстановления.
• Умение применять анализ кода и зависимостей, сканирование и ручные проверки; отличать реальную уязвимость от ложного срабатывания и описывать ограничения проверки.
• Опыт выпуска, внедрения или сопровождения программного продукта; умение составить программу испытаний и проверить результат исполнителя.
• Умение объяснять владельцу риски, стоимость и приоритеты простым языком, самостоятельно планировать работу и доводить задачи до проверяемого результата.
• Для планируемого руководства лицензируемыми работами — подтверждаемый профильный стаж и образование. Для СЗКИ: высшее по ИБ и стаж соответствующих работ от 5 лет; либо предусмотренное требованиями математическое, естественно-научное, инженерное или техническое высшее и стаж от 7 лет; либо иное высшее, переподготовка по ИБ от 360 аудиторных часов и профильный стаж от 5 лет. Соответствие требованиям ТЗКИ и СЗКИ проверяется отдельно. Общий стаж ИТ не заменяет опыт соответствующих работ.

Будет преимуществом
• Опыт подготовки компании к лицензированию ФСТЭК и организации реального производственного контроля.
• Опыт безопасности систем с конфиденциальными данными, локальных установок у клиентов и личных кабинетов.
• Опыт Node.js/TypeScript, PostgreSQL и автоматизации проверок выпусков.
• Практика безопасности ИИ-приложений, анализа вредоносных вложений, динамических испытаний или фаззинга.
• Опыт постановки задач небольшой команде и приёмки работ внешних специалистов.

Условия
• Постоянная работа в офисе: Красногорск, Красногорский бульвар, 4, корпус 1.
• Основное место работы, трудовой договор. Базовый график 5/2; рабочие часы и объём обязанностей обсуждаем с кандидатом.
• Уровень оплаты обсуждаем индивидуально. Укажите желаемую зарплату в рублях в месяц до вычета НДФЛ и поясните, на какой объём личной работы и ответственности рассчитаны ожидания.

Как откликнуться
Кратко опишите 1–2 проекта: вашу личную роль, найденную проблему и проверенный результат. Укажите образование, профильный опыт, зарплатные ожидания и готовность работать в офисе в Красногорске.
Переписка и собеседование — только в чате hh.ru. Первичный диалог ведёт ИИ-помощник по подбору; уполномоченный человек проверяет квалификацию и принимает решение о найме. Возможен короткий учебный кейс на вымышленных данных. Не присылайте конфиденциальные материалы прежних работодателей, реальные клиентские документы или сканы личных документов в чат.