О компании
Xebia — глобальный партнер в области искусственного интеллекта, цифровой трансформации и инженерии. С более чем 25-летним опытом и командой из 5000 специалистов в 16 странах мы помогаем организациям проектировать и создавать масштабируемые продукты, платформы и решения, основанные на данных.
Мы специализируемся на искусственном интеллекте, данных и облачных технологиях, интеллектуальной автоматизации и цифровых продуктах, сочетая глубокую техническую экспертизу с сильным акцентом на инженерное мастерство и культуру, ориентированную на людей.
В регионе ЦВЕ мы — команда из почти 1000 экспертов, создающих современные приложения, платформы данных и AI-решения для клиентов, таких как McLaren, Aviva, Deloitte, Spotify, Disney, ING, UPS, Tesco, Truecaller, AllSaints, Volotea, Schmitz Cargobull, Allegro, InPost и многих других. Мы работаем с ведущими технологиями, включая AWS, Azure, GCP, Databricks и Snowflake, и объединяем сильную инженерную культуру с консультативным подходом и постоянным фокусом на рост и обмен знаниями.
О проекте
Мы ищем консультанта по информационной безопасности для участия в проекте с нашим международным клиентом, который укрепляет информационную безопасность в инженерных, IT и комплаенс-функциях.
Проект направлен на повышение видимости и контроля безопасности в организации, включая создание полного реестра API и конечных точек, внедрение матрицы доступа для пользователей и приложений, усиление управления идентификацией и доступом, а также устранение пробелов в управлении уязвимостями и безопасности CI/CD.
Подчиняясь менеджеру по IT-безопасности, вы будете применять практический, ориентированный на результат подход к внедрению мер безопасности, документированию процессов и поддержке передачи знаний. Вы будете тесно сотрудничать с несколькими техническими командами и заинтересованными сторонами, обладая высокой степенью автономии в принятии технических решений.
Ваша деятельность будет включать
•укрепление CI/CD пайплайнов путем обеспечения доступа с минимальными привилегиями, изоляции сред сборки и управления конфигурациями пайплайнов как кодом
•интеграцию и настройку контрольных точек безопасности для SAST, SCA, сканирования зависимостей, обнаружения секретов, контейнерных образов и инфраструктуры как кода
•внедрение безопасного управления секретами, ротации учетных данных и соответствующего разделения учетных данных CI/CD
•усиление безопасности цепочки поставок программного обеспечения через подписание артефактов, генерацию SBOM, закрепление зависимостей и использование доверенных реестров
•обеспечение контроля безопасности исходного кода и релизов, включая защиту веток, обязательные проверки и защищенные рабочие процессы релизов
•создание и поддержание авторитетного реестра API, конечных точек и поддерживающей инфраструктуры, включая владение, классификацию, степень открытости и статус жизненного цикла
•сопоставление активов с применимыми мерами безопасности, включая аутентификацию, авторизацию, шифрование, логирование, мониторинг и ограничение скорости
•установление процессов регистрации новых активов и периодического пересмотра точности и полноты реестра
•проектирование и документирование матрицы доступа для пользователей, сервисных аккаунтов, API-клиентов, интеграций и автоматизированных заданий
•применение принципов минимальных привилегий и разделения обязанностей при назначении доступа и определение соответствующих областей разрешений для доступа между приложениями
•усиление управления идентификацией и доступом, включая внедрение единого входа (SSO) там, где это технически возможно
•подключение идентифицированных активов и конечных точек в Qualys, организация активов по уровню риска и проверка покрытия сканированием в соответствии с полным реестром
•координация триажа и устранения уязвимостей в соответствии с порогами серьезности, SLA по устранению и требованиями к отчетности
•документирование мер безопасности, процедур, результатов и рекомендаций на английском языке
•сотрудничество с инженерными, IT и комплаенс-стейкхолдерами для внедрения улучшений безопасности и поддержки передачи знаний
Ваш профиль
•подтвержденный опыт в области информационной безопасности, IT-безопасности или безопасности продуктов в сложных технических средах
•практический опыт управления активами безопасности, включая создание и поддержание реестров активов
•практический опыт работы с SAST и DAST и интеграции тестирования безопасности в процессы поставки программного обеспечения
•знание безопасности API, включая OWASP API Security Top 10, модели аутентификации и авторизации, стандарты шифрования
•опыт проектирования и документирования моделей контроля доступа, включая RBAC и матрицы доступа
•понимание принципов IAM, SSO, доступа с минимальными привилегиями и безопасности сервисных аккаунтов
•опыт работы с процессами управления уязвимостями, включая подключение активов, покрытие сканированием, приоритизацию на основе риска и отслеживание устранения
•знакомство с фреймворками информационной безопасности и комплаенса, такими как ISO 27001, NIS2 или SOC 2
•сильные навыки технической документации и способность переводить требования безопасности в четкие, выполнимые процедуры
•отличные коммуникативные навыки и умение сотрудничать как с техническими, так и с бизнес-стейкхолдерами
•практический, ориентированный на результат подход с автономией в продвижении задач и проактивном решении проблем
•профессиональное владение английским языком, так как вся документация и результаты работы будут на английском
•практический опыт использования ассистентов на базе ИИ (например, Claude Code, GitHub Copilot, Cursor) для повышения продуктивности, качества или принятия решений в процессе поставки программного обеспечения
•требуется работа из региона Европейского Союза и разрешение на работу
Желательно иметь
•знакомство с облачными средами, особенно AWS
•опыт работы с GitHub и обеспечением безопасности исходного кода и CI/CD процессов
•опыт работы с платформами управления уязвимостями, такими как Qualys
•знакомство с провайдерами идентификации и платформами SSO, такими как Okta или Microsoft Entra ID
•опыт работы с безопасностью цепочки поставок программного обеспечения, включая SBOM, подписание артефактов и безопасность зависимостей
•опыт работы с несколькими продуктовыми и инженерными командами в международной организации
Условия
•Местоположение: Бухарест, Румыния
•Режим работы: гибридный, с 3 днями в неделю на месте
Процесс найма
Рассмотрение резюме – звонок HR – собеседование – собеседование с клиентом – принятие решения
