О компании
Ви.Tech — команда инженеров, которая делает IT для ВИ.ру — одного из крупных игроков на рынке e-com. Аккредитованная ИТ компания, команда — 500+ сотрудников. Создаёт решения для крупнейшей e-commerce компании в России — ВсеИнструменты.ру — крупнейшего интернет-магазина по продаже товаров для дома, дачи, строительства и ремонта.
О компании в цифрах:
•20 лет развития, роста и результата
•ТОП 6 сайтов категории Home and Garden в мире по Similarweb
•ТОП 30 лучших IT-работодателей России на Хабр Карьере
•950+ магазинов — самая большая DIY-сеть в России
•1,5 млн. товаров на сайте
•1,78 млн. уникальных посетителей сайта ежедневно
•8 место среди интернет-магазинов России по Data Insight
О роли
Сейчас компания ищет инженера по продуктовой безопасности. Нужен специалист, который поможет развивать процесс безопасной разработки и сопровождать продуктовые команды в работе с уязвимостями: от поиска и триажа находок до их устранения и контроля ключевых метрик Product Security.
Задачи
•Искать и проводить триаж уязвимостей в продуктах компании
•Сопровождать найденные уязвимости: ставить задачи командам разработки и контролировать их до устранения
•Помогать разработчикам разбираться в причинах уязвимостей и способах их исправления
•Участвовать в развитии процесса безопасной разработки ПО (Security SDLC)
•Помогать разрабатывать правила и стандарты безопасной разработки
•Работать с инструментами проверки безопасности кода и приложений: SAST, SCA, DAST
•Контролировать время реакции и устранения уязвимостей (MTTR) в зависимости от их критичности
•Развивать покрытие репозиториев автоматизированными проверками безопасности
•Поддерживать механизм исключений и помогать снижать технический долг продуктовых команд в части ИБ
Требования
•Понимание механики типовых уязвимостей из OWASP Top 10: инъекции, XSS, SSRF, IDOR, небезопасная десериализация, ошибки аутентификации и управления сессиями
•Умение читать и писать код хотя бы на одном из языков: Go, Python или PHP
•Практический опыт работы хотя бы с одним классом инструментов: SAST, SCA или DAST
•Понимание HTTP и TLS
•Знание OAuth 2.0 / OIDC и JWT на уровне, достаточном для поиска ошибок в реализации
•Понимание жизненного цикла уязвимости: от обнаружения и оценки критичности до исправления и контроля результата
•Умение говорить с разработчиками на одном языке и аргументировать требования безопасности
Условия
•Возможность влиять на продукт, компания открыта к новым идеям и обратной связи
•Возможность быть эффективным в любой точке мира — работа удаленная, но при желании можно работать из офиса (Москва, Нижний Новгород, Ковров, Владимир)
•Дружелюбная атмосфера и открытость к новым знаниям: общение на "ты", внутренние митапы, выступления на конференциях, обмен опытом
•Возможность стать амбассадором ИТ бренда, есть деврел
•Перфоманс ревью 2 раза в год с премией до двух окладов и описанные грейды
•Расширенный ДМС со стоматологией, семью можно подключить со скидкой
•Комфортное рабочее место — выдают технику или можно работать на своей
Стек
Golang, PHP, Vue.js, Docker, K8s, S3, eBPF, CI/CD, Nginx, Redis, PostgreSQL, MySQL, NewRelic, Sentry, GitLab, Memcached, 1C, Kafka, Grafana, Prometheus, Jaeger, ClickHouse
