Инженер по безопасности приложений (AppSec / DevSecOps)

Москва, Ленинградское шоссе, 71Г

Метро: Беломорская

Показать контакты

Описание вакансии

Обязанности:

Разрабатывать процессы, руководства, критерии по безопасной разработке, архитектурные требования, чек-листы для продуктовых команд.
Создавать и развивать программу амбассадоров безопасности внутри продуктовых команд и команд разработки (Security Champions) и проводить тренинги по безопасной разработке.
Внедрять практику моделирования угроз и оценки рисков на этапе проектирования новых сервисов и фич, участвовать в security review архитектуры.
Встраивать проверки безопасности в различные этапы жизненного цикла ПО - от проектирования до релиза, включая интеграцию SAST/SCA/DAST в CI/CD.
Внедрять и использовать инструменты SAST/SCA/DAST, системы управления уязвимостями, управлять политиками сканирования и кастомными правилами.
Разрабатывать метрики эффективности направления, формировать отчетность и дашборды.
Развивать смежные проверки - поиск секретов, IaC scanning, container/image scanning, генерация SBOM, контроль цепочки поставок и т.п.
Разбирать результаты работы SAST/DAST/SCA, фильтровать ложные срабатывания, подтверждать реальные уязвимости, оценивать их эксплуатируемость и приоритизировать с учётом бизнес-контекста и критичности сервиса.
Ставить задачи на устранение выявленных недостатков в тикетинг системе/трекерах разработки (Jira и т.п.), контролировать соблюдение сроков, проводить проверку исправлений, оформлять принятие остаточных рисков с описанием компенсирующих мер.
Настраивать работу сканеров (разрабатывать правила и управлять политиками), интегрировать в CI/CD-пайплайны и выстраивать quality gates с блокирующими критериями при этом учитывать скорость разработки и стоимость проверок, следить за стабильностью инфраструктуры AppSec.
Помогать продуктовым командам и разработчикам в разборе сложных уязвимостей и поиске оптимальных способов устранения без потери производительности кода.
Планировать и сопровождать внешние пентесты, разбирать результаты и организовывать устранение выявленных недостатков.
Точечно проверять критически важные изменения, новые архитектурные решения и сторонние интеграции в рамках проверок безопасности (security review).
Участвовать в триаже критичных находок совместно с доменами VM/EASM/WAF и защиты данных, эскалировать спорные решения владельцам.

Требования:

Опыт 2–4 года в AppSec / DevSecOps / безопасной разработке.
Опыт работы с продуктовыми командами.
Практический опыт внедрения и настройки SAST, SCA и DAST.
Опыт интеграции проверок безопасности в CI/CD и настройки quality gates.
Опыт координации или проведения пентестов.
Опыт построения процессов и стандартов безопасной разработки, работы с Security Champions.
Знание OWASP Top 10, OWASP ASVS, CWE, CVSS, SDLC, secure by design.
Устройство SAST/SCA/DAST: возможности, ограничения, типовые ложные срабатывания.
Знание принципов SBOM, управления зависимостями и цепочкой поставок
Threat modeling и процессы управления уязвимостями.
Знание метрик AppSec / DevSecOps и подходов к оценке зрелости процессов.
Высшее техническое образование в сфере информационных технологий или информационной безопасности, предпочтительно профильное образование по информационной безопасности.
Английский разговорный и письменный на уровне Intermediate.

Будут плюсом:
Сертификации: OSWE, OSCP, OSWA, BSCP, CSSLP, CompTIA Security+.
Дополнительное обучение по AppSec, DevSecOps.

Условия:

Возможность профессионального и карьерного роста в международной компании;
Комфортный и современный офис, корпоративный транспорт (от м. Войковская, Речной вокзал, Алтуфьево, ж/д станции Химки);
Возможность приобрести опыт работы с коллегами из других стран;
Полис ДМС;
Страхование от несчастного случая и болезней;
Частичная компенсация питания в корпоративной столовой;
Скидки на изучение английского языка, корпоративная программа по изучению английского языка для сотрудников, которым он необходим для работы;
Дополнительные дни оплачиваемого отпуска, доплата по листам нетрудоспособности;
Скидки на покупки в Торговых Центрах Компании;
Специальные предложения от банков, фитнес-клубов и других партнёров.