Описание
Ведущий российский фармацевтический производитель, в связи с развитием направления информационной безопасности, приглашает в свою команду Инженера по безопасности приложений / DevSecOps.
Задачи
•Выстраивать и развивать направление Application Security и практики безопасной разработки практически с нуля, интегрируя требования ИБ в жизненный цикл создания и сопровождения приложений
•Формировать единый подход к безопасности веб-приложений, API, мобильных решений и интеграций с внутренними системами
•Участвовать в создании централизованного технологического контура разработки и DevSecOps: Git-платформа, CI/CD, хранилища артефактов и контейнеров, типовые пайплайны и другие необходимые компоненты
•Встраивать автоматизированные проверки безопасности в процессы CI/CD и развивать security-gates перед выпуском изменений
•Настраивать и сопровождать инструменты SAST, SCA, DAST, Secret Scanning, проверки контейнеров и IaC, обеспечивая их использование командами разработки
•Разрабатывать унифицированные шаблоны пайплайнов и механизмы подключения проверок, чтобы команды могли использовать готовые безопасные практики без индивидуальной настройки каждого проекта
•Анализировать результаты сканирований, подтверждать реальные уязвимости, выявлять ложные срабатывания и совместно с разработчиками определять приоритеты и способы устранения
•Участвовать в оценке архитектуры новых и модернизируемых информационных систем с позиции информационной безопасности, в том числе проводить анализ изменений и отдельных компонентов приложений
•Формировать требования и технические стандарты по безопасной разработке для разработчиков и DevOps-команд
•Участвовать в моделировании угроз и применении принципов secure-by-design для критичных систем и значимых изменений
•Контролировать устранение критических и высоких уязвимостей, отслеживать соблюдение установленных сроков их устранения
•Участвовать в оценке безопасности решений, создаваемых внешними командами разработки, а также используемых сторонних компонентов
•Развивать практики безопасного управления секретами, токенами, ключами и техническими учетными данными в процессе разработки
•Участвовать в расследовании инцидентов, связанных с приложениями, API и цепочкой разработки
•Формировать и отслеживать показатели эффективности AppSec: охват репозиториев проверками, количество и сроки устранения уязвимостей, соблюдение SLA, исключения и накопленный технический долг
•Самостоятельно доводить технические инициативы от выбора подхода и инструмента до его внедрения и формирования работающего процесса
Требования
•От 3 лет опыта в Application Security, DevSecOps, DevOps, информационной безопасности разработки или смежном техническом направлении
•Практический опыт обеспечения безопасности приложений и понимание основных принципов Secure SDLC
•Знание типовых уязвимостей веб-приложений и API, понимание OWASP Top 10 и OWASP API Security Top 10
•Практический опыт работы с инструментами автоматизированного анализа безопасности кода, зависимостей, приложений, секретов, контейнеров или IaC. Важно наличие реального опыта настройки и применения таких инструментов, а не только формирования требований к ним
•Хорошее понимание CI/CD и опыт самостоятельной интеграции инструментов безопасности в пайплайны
•Опыт работы с Git-платформами (GitLab, GitHub, Bitbucket или аналогами)
•Понимание принципов построения централизованной платформы разработки, работы репозиториев артефактов и контейнеров
•Понимание Docker и современных подходов к сборке и доставке приложений; опыт работы с Kubernetes, Helm, Terraform будет полезен
•Практический опыт работы хотя бы с одним open-source инструментом в области Application Security / DevSecOps и готовность самостоятельно разбираться и внедрять новые решения
•Умение самостоятельно анализировать результаты сканирования, отделять реальные уязвимости от ложных срабатываний и определять приоритеты исправлений
•Понимание механизмов аутентификации и авторизации, управления сессиями, OAuth 2.0 / OIDC и принципов безопасности API
•Способность обсуждать технические риски и способы устранения уязвимостей непосредственно с разработчиками
•Понимание принципов threat modeling и подхода secure-by-design
•Готовность самостоятельно развивать новое направление: от выбора инструментария и формирования стандартов до внедрения решений и выстраивания процессов
Будет плюсом
•Навыки программирования или уверенного чтения кода на распространённых языках (Python, Java, JavaScript/TypeScript, C#, Go и др.)
Условия
•Работа в ведущей российской фармацевтической компании
•Роль с высокой степенью самостоятельности и возможностью фактически сформировать направление Application Security / DevSecOps внутри компании
•Работа над созданием единого контура безопасной разработки и внедрением DevSecOps-практик
•Официальное трудоустройство и стабильная работа в крупной производственной компании
•Гибридный формат работы: 4 дня в офисе, 1 день удалённо
•ДМС и дополнительные корпоративные программы страхования
