Описание
Роль сфокусирована на снижении рисков безопасности веб-приложений и API на протяжении всего цикла разработки ПО, помогая командам выявлять реальные риски, сокращать количество ложных срабатываний и эффективно создавать и поставлять безопасное программное обеспечение.
Задачи
•Проведение оценок безопасности веб-приложений, API, сервисов и вспомогательных компонентов
•Проведение threat modeling, анализ архитектур и технических решений с точки зрения безопасности
•Проведение secure code review, выявление уязвимостей и небезопасных паттернов реализации
•Валидация результатов автоматизированных инструментов, сокращение false positives, приоритизация issues на основе эксплуатируемости и влияния на бизнес
•Предоставление практических рекомендаций по устранению проблем и безопасной реализации
•Отслеживание findings до устранения и повторного тестирования в сотрудничестве с командами разработки
•Консультирование команд по вопросам аутентификации, авторизации, управления сессиями, валидации входных данных, защиты данных, криптографии, работы с секретами и контролей безопасности API
•Вклад в практики secure SDLC, стандарты безопасности, гайдлайны и повторно используемые security-паттерны
•Коммуникация рисков безопасности и рекомендаций техническим и нетехническим стейкхолдерам
Требования
•Практический опыт в области application security или product security
•Глубокие знания безопасности веб-приложений и API, включая OWASP Top 10 и распространённые классы уязвимостей
•Практический опыт проведения security assessments, secure design review и/или secure code review
•Понимание threat modeling и принципов безопасного проектирования ПО
•Глубокие знания аутентификации, авторизации, управления сессиями, валидации входных данных, криптографии, работы с секретами и защиты данных
•Практический опыт работы с одной или несколькими application security технологиями, такими как SAST, DAST, IAST, SCA или инструменты secrets-scanning
•Умение валидировать security findings, отличать реальные риски от false positives и приоритизировать устранение
•Умение читать и понимать код хотя бы на одном языке программирования, например Java, C#, JavaScript/TypeScript, Python или Go
•Знакомство с современными архитектурами приложений, API, распределёнными сервисами и общими практиками разработки ПО
•Сильные коммуникативные навыки и умение давать практические рекомендации инженерным командам
Будет плюсом
•Практики DevSecOps, интеграция инструментов application security и security gates в CI/CD pipelines
•Создание или улучшение процессов secure SDLC, стандартов безопасности и рекомендаций по безопасному коду для разработчиков
•Знание концепций безопасности облачных приложений (AWS, Microsoft Azure или Google Cloud)
•Знание IAM и концепций application identity (SSO, OAuth 2.0, OpenID Connect, SAML)
•Опыт с безопасностью контейнеров/Kubernetes или Infrastructure as Code (Terraform и аналоги)
•Соответствующие сертификации в области безопасности (CSSLP, CISSP) или эквивалентная практическая экспертиза
Условия
Условий в вакансии нет
