AppSec-инженер
Что мы предлагаем:
-
Гибридный график работы 5/2 (2 дня в офисе, остальные удаленно);
-
Комфортабельный современный офис в Москве рядом с м. Серпуховская/Павелецкая;
-
Официальное трудоустройство в соответствии с ТК РФ с первого дня;
-
Корпоративные скидки BestBenefits (800+ магазинов и онлайн-сервисов);
- ДМС после прохождения испытательного срока;
-
Корпоративные курсы английского языка.
Чем предстоит заниматься:
-
Проводить аудит безопасности сервисов, приложений и новых фич (ReleaseManagement): проверять архитектуру, код, среды (WEB, API), выявлять риски и сопровождать внедрение мер по их устранению.
-
Анализировать код на уязвимости с помощью инструментов SSDLC (SAST, DAST, SCA), фильтровать ложные срабатывания и приоритизировать реальные проблемы.
-
Формировать рекомендации по безопасной архитектуре в соответствии с лучшими практиками (в т. ч. OWASP), описывать целевую архитектуру и требования к безопасности.
-
Внедрять и поддерживать security gates в пайплайнах, участвовать в построении процессов безопасной разработки (SSDLC).
-
Вести отчётность по аудитам, заводить и сопровождать задачи в Jira до закрытия и перепроверки, контролировать, чтобы не рос технический долг по безопасности.
-
Участвовать во внедрении и сопровождении процессов Secret Management (например, HashiCorp Vault или аналогов).
Наши ожидания:
-
Опыт работы в AppSec / безопасной разработке от 2 лет.
-
Уверенное знание OWASP Top 10 и CWE Top 25, умение применять эти знания на практике: находить уязвимости и предлагать конкретные меры по их устранению.
-
Практический опыт работы с инструментами SSDLC: SAST, DAST, SCA (понимание, как настраивать интеграции в CI/CD, как работать с отчётами и снижать шум).
-
Понимание принципов работы современных веб-приложений и API: REST, SOAP, SOP, CORS, HSTS, CSP, OAuth, JWT.
-
Опыт внедрения процессов Secret Management и работы с решениями класса Secret Management (HashiCorp Vault или аналоги).
-
Умение взаимодействовать с командами ИБ, разработки, тестирования и другими, договариваться о приоритетах и сроках устранения уязвимостей.
Будет плюсом:
-
Опыт моделирования угроз (STRIDE, DREAD) и умение включать это в процесс разработки.
-
Навыки работы с конкретными инструментами: Semgrep, OWASP ZAP, Trivy, SonarQube, DefectDojo и т. п.
-
Знание специфики защиты микросервисов, облачных сред или конкретных фреймворков, используемых в компании.
-
Знание стандартов безопасности: PCI DSS, а также российских требований к безопасной разработке и защите информации (152-ФЗ, ГОСТ Р 56939-2016, приказы ФСТЭК - понимание, как применять требования в архитектуре и разработке).
-
Опыт участия в пентестах.