DevSecOps Lead

Компания PIM Solutions https://pimsolutions.ru/about ищет inhouse DevSecOps Lead. Прямое подчинение CTO, работа со всеми командами - разработкой, эксплуатацией и SRE.

Мы сильно выросли: раньше был «десяток инстансов и тройка железок», а теперь - три облака, пара десятков Kubernetes-кластеров, 400+ виртуальных машин, 300+ репозиториев и десятки проектов на PHP, Scala, C# и Python, с фронтендом на Vue и React. PCI DSS из пункта «помочь получить» стал частью повседневной работы, а к нему добавился ГОСТ Р 57580. Нужен человек, который выстроит DevSecOps в компании: безопасность - не отдел с запретами, а часть того, как всё строится и деплоится.

## Must have

- любить свою профессию;

- уметь: чётко изъясняться, ставить правильные вопросы, искать эффективные решения поставленных задач, самостоятельно восполнять недостающие знания, постоянно самообучаться;

- у вас есть опыт работы релевантный DevSecOps 1-2 года;

- опыт выстраивания процессов ИБ - Secure SDLC, процедуры, обучение сотрудников - таких, которыми реально пользуются (Best practice по безопасной разработке);

- умение договариваться с разными командами (dev, ops, SRE) и влиять без прямого подчинения: убеждать аргументами, а не регламентами;

- умение объяснять безопасность простым языком - и разработчику, и бухгалтерии;

- умение приоритизировать риски и защищать решения: с CTO - на языке рисков и денег, с разработчиками - на языке кода;

- опыт администрирования Linux - будет преимуществом, знание подсистем на хорошем уровне(диск, сеть, файлы, процессы и т. д.) - и понимание, как их защищают и как их ломают;

- опыт работы с публичными облаками (Google Cloud, Yandex Cloud, Selectel или аналогичными): IAM, VPC, сетевые политики, managed-сервисы;

- Infrastructure as Code: Terraform, Ansible или аналоги;

- опыт защиты Docker и Kubernetes;

- опыт построения CI/CD и встраивания в него сканеров безопасности (SAST, DAST, SCA, сканирование образов и IaC, поиск секретов в коде);

- опыт работы с WAF: внедрение, настройка правил, разбор ложных срабатываний;

- опыт работы с HashiCorp Vault (или аналогами) и PKI/TLS;

- практики безопасности на деле, а не в презентации: наименьшие привилегии, сегментация сети, харденинг, шифрование at rest / in transit, управление уязвимостями;

- опыт работы с мониторингом, логами и алертингом (Prometheus, Grafana, ELK или аналоги);

- опыт программирования на скриптовых языках (bash, python, etc.);

- умение перенимать опыт коллег и делиться с ними собственным.

## Будет большим плюсом

- опыт подготовки и прохождения аудитов: PCI DSS (сегментация CDE, ASV-сканы, пентесты) и ГОСТ Р 57580;

- опыт с другими стандартами и регуляторикой (ISO 27001, 152-ФЗ);

- опыт построения DevSecOps- или security-функции с нуля;

- опыт запуска security awareness-программ: обучение, учебные фишинговые рассылки;

- опыт найма и развития инженеров;

- понимание сборки и зависимостей в JVM (Scala, sbt), .NET (C#), Python и npm;

- опыт с SIEM, IDS/IPS и runtime-защитой контейнеров (Falco или аналоги);

- сертификация CKS;

- опыт мультиоблачной / гибридной инфраструктуры и связности между облаками.

## Что у нас

- 15 лет на рынке, 200 человек в компании, из них 50 - в ИТ;

- прямое подчинение CTO; своей команды пока нет - работа со всеми командами (dev, ops, SRE) на равных;

- 300+ репозиториев и десятки проектов - есть и легаси, и совсем новое: работа найдётся и тем, кто любит наводить порядок, и тем, кто любит строить с нуля;

- три облака: Google Cloud, Yandex Cloud и Selectel;

- пара десятков Kubernetes-кластеров и 400+ виртуальных машин;

- бэкенд на PHP, Scala и C#, десятки небольших проектов на Python - и у каждого языка свой взгляд на сборку, зависимости и уязвимости;

- фронтенд на Vue 2/3 и React;

- собственный Data Mesh на Airflow;

- развиваем корпоративную ZeroCode-платформу;

- CI/CD на GitLab CI;

- регулярные аудиты PCI DSS и ГОСТ Р 57580 - безопасность у нас требование аудиторов, а не галочка;

- PostgreSQL и Redis, очереди на RabbitMQ и Kafka, секреты в Vault;

- мониторинг на Prometheus и Grafana, логи в ELK.

## Что хотим

- Выстроить DevSecOps-направление: стратегия, роадмап и приоритеты - и довести их до работающих практик;

- Перестроить SDLC под требования ИБ: безопасность закладывается ещё на этапе постановки задачи, дальше - моделирование угроз для значимых изменений, security review, проверки в пайплайне и контроль перед выходом в прод;

- Помогать проходить аудиты PCI DSS и ГОСТ Р 57580: поддерживать контур, собирать доказательства, закрывать замечания аудиторов - чтобы аудит был проверкой того, что мы и так делаем каждый день, а не авралом;

- Сканирование на всех уровнях: SAST, SCA, DAST, сканирование образов, IaC и инфраструктуры для PHP, Scala, C#, Python и фронтенда - общими шаблонами GitLab CI на все 300+ репозиториев, а не 300 самописными вариантами. И так, чтобы разработчики не мечтали это отключить;

- Управление уязвимостями от обнаружения до закрытия - с приоритетами, а не отчётом на 300 страниц;

- Безопасный Kubernetes: RBAC, сетевые политики, admission-политики, образы только из доверенных реестров - одинаково во всех двух десятках кластеров;

- Безопасность данных и платформ: доступы к данным в Data Mesh, безопасные настройки по умолчанию для приложений на ZeroCode-платформе;

- Внедрить WAF с нуля перед публичными сервисами: выбрать решение, настроить правила под наши приложения - и не блокировать легитимных клиентов;

- Процедуры ИБ - доступы, изменения, инциденты, уязвимости - написать и внедрить так, чтобы их выполняли каждый день, а не доставали к аудиту;

- Повышать уровень безопасности кода, как культуру в компании: регулярные короткие обучения, понятные памятки.

- Обучение secure coding для разработчиков: OWASP Top 10 на примерах из нашего же кода;

- Работать вместе с SRE: общий мониторинг и алертинг в Prometheus, Grafana и ELK, по которым видно не только падения, но и подозрительную активность; общий разбор инцидентов; изменения, которые делают систему и надёжнее, и безопаснее, а не одно за счёт другого;

- Быть связующим звеном между разработкой, эксплуатацией, SRE и CTO: постоянная коммуникация со всеми командами, предложение современных решений, автоматизация всего-всего;

- Для легаси, которое быстро не переписать, - компенсирующие меры, чтобы старый код не был самым слабым местом;

- Единые правила во всех трёх облаках.

- Секреты - только в Vault, а не в репозиториях и переменных окружения «на время»;

- Там, где плохо, чтоб было хорошо! А там, где хорошо, - чтоб было безопасно.

## Условия

- гибридный формат: офис в Москве у метро «Краснопресненская»;

- официальное оформление по ТК РФ. ЗП в зависимости от компетенций