Инженер по безопасности разработки ПО/ AppSec-инженер (Санкт-Петербург)

ИТ-группаN3.Tech создает цифровые решения на уровне сложных, масштабных и критически важных систем для государства и крупного бизнеса. Мы объединяем инженерию, отраслевой консалтинг и продуктовый подход, чтобы брать на себя полную ответственность за результат - от идеи до работающего решения, влияющего на миллионы людей.

У нас работают команды, которые не боятся сложных задач: высоконагруженные платформы, государственные информационные системы, транспорт, импортонезависимые корпоративные решения. Мы ищем людей, которым важно делать осмысленные проекты, видеть реальный эффект своей работы и расти вместе с сильной технологической командой и амбициозными клиентами.

Мы в поисках инженера по безопасности разработки ПО.

Мы вам доверим задачи:

• Участвовать в обеспечении безопасности ПО на всех этапах жизненного цикла разработки.

• Проводить анализ безопасности архитектуры и Threat Modeling разрабатываемых решений, выявлять потенциальные угрозы и формировать требования по их снижению.

• Проводить SAST, SCA и DAST-проверки, анализировать полученные результаты, подтверждать выявленные уязвимости и отрабатывать False Positive.

• Проводить ручной Security Code Review критичных компонентов ПО, включая анализ механизмов аутентификации, авторизации, обработки данных и других чувствительных участков кода.

• Интегрировать автоматизированные проверки безопасности в CI/CD и участвовать в настройке Security Gates, определяющих условия допуска ПО к сборке и выпуску.

• Контролировать безопасность сторонних компонентов и зависимостей, выявлять уязвимые компоненты, анализировать транзитивные зависимости, участвовать в формировании и актуализации SBOM.

• Консультировать команды разработки по вопросам безопасного программирования, участвовать в разработке Secure Coding Guidelines и повышении уровня Security Awareness разработчиков.

• Участвовать в реагировании на критические уязвимости и инциденты безопасности ПО, включая анализ возможности эксплуатации, Root Cause Analysis и проверку срочных исправлений.

• Вести реестр уязвимостей, результаты проверок, исключения, принятые риски и доказательства выполнения требований безопасности.

• Анализировать эффективность существующих контролей и предлагать улучшения процессов безопасной разработки

Что необходимо знать и уметь:

• Принципы принципы безопасной разработки ПО (Secure SDLC).

• Типовые уязвимости веб-приложений и API, механизмы их возникновения и способы предотвращения.

• Умение выявлять небезопасные конструкции и практики программирования, понимать логику приложения и оценивать потенциальную возможность эксплуатации уязвимости.

• SAST, SCA и DAST, умение настраивать и применять средства автоматизированного анализа, интерпретировать результаты, подтверждать уязвимости и выявлять False Positive.

• Умеете управлять уязвимостями, оценивать критичность и применимость уязвимостей, определять приоритеты устранения, контролировать исправление и проводить повторную проверку.

• Threat Modeling и анализ архитектуры, понимание границы доверия, потоки данных, внешние интерфейсы и потенциальные векторы атак; уметь выявлять угрозы и формировать требования безопасности.

• Безопасность компонентов и зависимостей, понимание рисков open-source и сторонних компонентов, прямых и транзитивных зависимостей, уметь работать с CVE/CWE и SBOM.

• Безопасность CI/CD, принципы интеграции security-контролей в процессы разработки, включая Security Gates, проверки Merge/Pull Request и контроль безопасности программных артефактов.

• Основы безопасности приложений и инфраструктуры, принципы работы Linux, Git, Docker, Kubernetes и IaC в той мере, которая необходима для анализа рисков безопасности приложений.

• Методики и стандарты AppSec: OWASP ASVS/SAMM, CWE, CVE/CVSS, NIST SSDF и применимые требования безопасной разработки ПО.

• Основы безопасного программирования, принципы аутентификации и авторизации, управления сессиями, обработки пользовательских данных, криптографии.

• Российские требования к безопасной разработке ПО, применимые требования ФСТЭК России и ГОСТ Р 56939-2024 в части безопасности разработки.

Мы предлагаем комфортные условия для решения сложных задач:

• Аккредитованная ИТ-компания

• Полное соблюдение ТК РФ

• ДМС, полис путешественника и страхование от несчастных случаев

• 4 дополнительных выходных в год по болезни

• Гибкое начало рабочего дня с 09:00 до 11:00

Главное достоинство N3.Tech - это люди, которые здесь работают. У нас развита корпоративная культура, поддержка и обмен опытом.

Присоединяйтесь к нашей команде и проявляйте себя, создавая цифровое будущее с нами