Описание
Компания PIM Solutions ищет inhouse DevSecOps Lead. Прямое подчинение CTO, работа со всеми командами — разработкой, эксплуатацией и SRE. Мы сильно выросли: раньше был «десяток инстансов и тройка железок», а теперь — три облака, пара десятков Kubernetes-кластеров, 400+ виртуальных машин, 300+ репозиториев и десятки проектов на PHP, Scala, C# и Python, с фронтендом на Vue и React. PCI DSS из пункта «помочь получить» стал частью повседневной работы, а к нему добавился ГОСТ Р 57580. Нужен человек, который выстроит DevSecOps в компании: безопасность — не отдел с запретами, а часть того, как всё строится и деплоится.
Задачи
•Выстроить DevSecOps-направление: стратегия, роадмап и приоритеты — и довести их до работающих практик
•Перестроить SDLC под требования ИБ: безопасность закладывается ещё на этапе постановки задачи, дальше — моделирование угроз для значимых изменений, security review, проверки в пайплайне и контроль перед выходом в прод
•Помогать проходить аудиты PCI DSS и ГОСТ Р 57580: поддерживать контур, собирать доказательства, закрывать замечания аудиторов — чтобы аудит был проверкой того, что мы и так делаем каждый день, а не авралом
•Сканирование на всех уровнях: SAST, SCA, DAST, сканирование образов, IaC и инфраструктуры для PHP, Scala, C#, Python и фронтенда — общими шаблонами GitLab CI на все 300+ репозиториев, а не 300 самописными вариантами. И так, чтобы разработчики не мечтали это отключить
•Управление уязвимостями от обнаружения до закрытия — с приоритетами, а не отчётом на 300 страниц
•Безопасный Kubernetes: RBAC, сетевые политики, admission-политики, образы только из доверенных реестров — одинаково во всех двух десятках кластеров
•Безопасность данных и платформ: доступы к данным в Data Mesh, безопасные настройки по умолчанию для приложений на ZeroCode-платформе
•Внедрить WAF с нуля перед публичными сервисами: выбрать решение, настроить правила под наши приложения — и не блокировать легитимных клиентов
•Процедуры ИБ — доступы, изменения, инциденты, уязвимости — написать и внедрить так, чтобы их выполняли каждый день, а не доставали к аудиту
•Повышать уровень безопасности кода, как культуру в компании: регулярные короткие обучения, понятные памятки
•Обучение secure coding для разработчиков: OWASP Top 10 на примерах из нашего же кода
•Работать вместе с SRE: общий мониторинг и алертинг в Prometheus, Grafana и ELK, по которым видно не только падения, но и подозрительную активность; общий разбор инцидентов; изменения, которые делают систему и надёжнее, и безопаснее, а не одно за счёт другого
•Быть связующим звеном между разработкой, эксплуатацией, SRE и CTO: постоянная коммуникация со всеми командами, предложение современных решений, автоматизация всего-всего
•Для легаси, которое быстро не переписать, — компенсирующие меры, чтобы старый код не был самым слабым местом
•Единые правила во всех трёх облаках
•Секреты — только в Vault, а не в репозиториях и переменных окружения «на время»
•Там, где плохо, чтоб было хорошо! А там, где хорошо, — чтоб было безопасно
Требования
•Любить свою профессию, уметь: чётко изъясняться, ставить правильные вопросы, искать эффективные решения поставленных задач, самостоятельно восполнять недостающие знания, постоянно самообучаться
•Опыт работы релевантный DevSecOps 1-2 года
•Опыт выстраивания процессов ИБ — Secure SDLC, процедуры, обучение сотрудников — таких, которыми реально пользуются (best practice по безопасной разработке)
•Умение договариваться с разными командами (dev, ops, SRE) и влиять без прямого подчинения: убеждать аргументами, а не регламентами
•Умение объяснять безопасность простым языком — и разработчику, и бухгалтерии
•Умение приоритизировать риски и защищать решения: с CTO — на языке рисков и денег, с разработчиками — на языке кода
•Опыт работы с публичными облаками (Google Cloud, Yandex Cloud, Selectel или аналогичными): IAM, VPC, сетевые политики, managed-сервисы
•Infrastructure as Code: Terraform, Ansible или аналоги
•Опыт защиты Docker и Kubernetes
•Опыт построения CI/CD и встраивания в него сканеров безопасности (SAST, DAST, SCA, сканирование образов и IaC, поиск секретов в коде)
•Опыт работы с WAF: внедрение, настройка правил, разбор ложных срабатываний
•Опыт работы с HashiCorp Vault (или аналогами) и PKI/TLS
•Практики безопасности на деле, а не в презентации: наименьшие привилегии, сегментация сети, харденинг, шифрование at rest / in transit, управление уязвимостями
•Опыт работы с мониторингом, логами и алертингом (Prometheus, Grafana, ELK или аналоги)
•Опыт программирования на скриптовых языках (bash, python, etc.)
•Умение перенимать опыт коллег и делиться с ними собственным
Будет плюсом
•Опыт администрирования Linux — знание подсистем на хорошем уровне (диск, сеть, файлы, процессы и т. д.) — и понимание, как их защищают и как их ломают
•Опыт подготовки и прохождения аудитов: PCI DSS (сегментация CDE, ASV-сканы, пентесты) и ГОСТ Р 57580
•Опыт с другими стандартами и регуляторикой (ISO 27001, 152-ФЗ)
•Опыт построения DevSecOps- или security-функции с нуля
•Опыт запуска security awareness-программ: обучение, учебные фишинговые рассылки
•Опыт найма и развития инженеров
•Понимание сборки и зависимостей в JVM (Scala, sbt), .NET (C#), Python и npm
•Опыт с SIEM, IDS/IPS и runtime-защитой контейнеров (Falco или аналоги)
•Сертификация CKS
•Опыт мультиоблачной / гибридной инфраструктуры и связности между облаками
Условия
•Гибридный формат: офис в Москве у метро «Краснопресненская»
•Официальное оформление по ТК РФ
•ЗП в зависимости от компетенций
