Технический лидер AppSec

Технический лидер AppSec в Сбере (Москва). Опыт от 4 лет. Зарплата: 300 000 - 450 000 руб. Руководство командой инженеров AppSec, интеграция безопасности в CI/CD.

Обязанности: • Быть техническим лидером команды инженеров AppSec. • Помогать команде принимать архитектурные и технические решения в области безопасности приложений. • Наставлять инженеров, помогая им развивать экспертизу в AppSec, DevSecOps, анализе безопасности кода и автоматизации. • Проверять технические решения, подходы к анализу уязвимостей, правила SAST и автоматизацию безопасности. • Участвовать в планировании работы команды совместно с владельцем продукта. • Помогать приоритизировать задачи с учетом технических рисков, бизнес-контекста и загрузки команды. • Быть единой точкой входа для владельца продукта по вопросам AppSec: статусы, блокеры, риски, дорожная карта, технические ограничения и потребности команды. • Развивать интеграцию проверок безопасности в CI/CD. • Разрабатывать и поддерживать правила для инструментов SAST. • Улучшать процессы с SAST/SCA/DAST/MAST: качество проверок, триаж, отчетность, снижение ложных срабатываний. • Писать автоматизацию для интеграции сканеров, обработки результатов, обогащения находок и генерации метрик. • Исследовать и тестировать новые инструменты тестирования безопасности приложений. • Помогать делать проверки безопасности более полезными для разработчиков и менее шумными для команд.

Требования: • Опыт в области безопасности приложений от 4 лет или сопоставимый опыт в разработке с последующим переходом в безопасность. • Практический опыт технического руководства, наставничества или координации работы инженеров AppSec/безопасности. • Глубокое понимание безопасного SDLC, безопасности shift-left и DevSecOps. • Практический опыт работы с инструментами SAST, SCA, DAST и/или MAST. • Опыт интеграции проверок безопасности в CI/CD. • Опыт анализа безопасности кода на одном или нескольких языках: Java/Kotlin, Go, Python. • Уверенное владение одним из языков: Python/Java/Go. • Опыт работы с Bash. • Глубокое понимание OWASP Top 10, OWASP ASVS и OWASP Mobile Top 10. • Понимание современных архитектур: микросервисы, REST/gRPC API, Kubernetes, контейнеризация. • Опыт анализа результатов сканирования, проверки уязвимостей, выявления ложных срабатываний и приоритизации рисков. • Практический опыт взаимодействия с разработчиками для устранения уязвимостей. • Понимание особенностей безопасности мобильных приложений. • Опыт работы с инструментами MAST. • Понимание типичных рисков мобильных приложений: небезопасное хранение, небезопасная связь, неправильное обращение с секретами, обнаружение джейлбрейка/рута, риски реверс-инжиниринга, пиннинг сертификатов, вмешательство в код. • Опыт анализа Android/iOS приложений будет преимуществом. • Инструментальное использование ИИ для анализа, генерации и автоматизации.