Инженер по безопасности приложений

Right Line, российская ИТ-компания с 2017 года, ищет инженера по безопасности приложений для интеграции безопасности на всех этапах SDLC. Зарплата: 300 000 на руки. Обязанности включают оценку уязвимостей, моделирование угроз и разработку SSDLC.

Мы — Right Line, российская ИТ-компания, работающая с 2017 года. Мы разрабатываем решения для банков и финансовых компаний. Мы развиваем практики безопасной разработки для внутренних продуктов компании и ищем инженера по безопасности приложений, который поможет интегрировать безопасность на всех этапах SDLC — от проектирования и разработки до эксплуатации. Обязанности: • Проведение оценок безопасности приложений и сервисов на наличие уязвимостей (SAST, SCA, DAST, обнаружение секретов, фаззинг), подготовка POC-эксплойтов и понятных отчётов для команд; • Выполнение триажа уязвимостей: оценка рисков и влияния, приоритизация, постановка задач на устранение, контроль сроков и качества исправлений уязвимостей; • Участие в проектировании: проведение моделирования угроз (например, STRIDE), обзоры безопасности архитектуры и дизайна, формулирование требований к аутентификации, авторизации, шифрованию и логированию; • Разработка SSDLC и DevSecOps: определение и внедрение средств контроля безопасности на этапах требований, проектирования, разработки, тестирования и эксплуатации, настройка security gates в GitLab CI/CD; • Поддержка и развитие инструментов AppSec: интеграция сканеров в конвейер разработки, настройка политик, исключений и отчётности, участие в выборе и пилотировании новых решений; • Участие в аудитах безопасности сервисов и расследованиях инцидентов: анализ причин, разработка устойчивых мер по предотвращению повторения целых классов уязвимостей; • Консультирование команд разработки и архитекторов по безопасной разработке, анализу и устранению уязвимостей, шаблонам безопасного кодирования; • Проведение тренингов, воркшопов и семинаров по AppSec (OWASP Top 10 / API Security, безопасная аутентификация и управление сессиями, защита API и интеграций и т.д.); • Исследование новых векторов атак и тенденций в AppSec, предложение улучшений процессов и инструментов.

• Высшее техническое образование (предпочтительно в области информационной безопасности или сопоставимый практический опыт в разработке/безопасности приложений); • Не менее 3 лет опыта работы инженером по безопасности приложений, участие в реальных проектах по защите веб- или API-сервисов в продакшене; • Практический опыт внедрения и эксплуатации инструментов: SAST, SCA, DAST, фаззинг, сканирование секретов. Интеграция этих инструментов в CI/CD (предпочтительно GitLab CI/CD); • Опыт работы с Docker, Kubernetes, GitLab (или аналогичными системами контроля версий и CI/CD); • Способность проводить обзоры кода с фокусом на безопасность, давать чёткие и практичные рекомендации разработчикам; • Владение одним из языков программирования (Python / Go / Bash); • Глубокое понимание причин и методов эксплуатации уязвимостей из OWASP Top 10 и OWASP API Security, а также практического устранения этих проблем; • Коммуникативные навыки: умение объяснять сложные технические риски простым языком, договариваться о приоритетах, конструктивно отстаивать позицию по безопасности; • Готовность нести ответственность за результаты: от качества найденных уязвимостей до обеспечения фактического внедрения командой устойчивых исправлений, а не обходных путей; • Преимущество отдаётся кандидатам с опытом в транзакционном бизнесе или платёжных системах, с глубоким пониманием платёжных технологий и специфики работы в сегментах B2B/B2G.

Зарплата: 300 000 на руки