Описание
Мы ищем Application Security Engineer для присоединения к отделу безопасности ведущей европейской группы в секторе мобильности и инфраструктуры, в среде Java и/или .NET с использованием AWS и/или Azure. Организация стремится внедрять безопасность с самого начала цикла разработки, а не рассматривать её как финальный этап. Ваша роль — обеспечить, чтобы команды по умолчанию проектировали и писали безопасный код, координировать пентесты и оценки уязвимостей, а также оказывать техническую поддержку по устранению проблем вплоть до закрытия рекомендаций.
Задачи
•Определять и продвигать практики Secure SDLC, интегрируя требования безопасности в цикл разработки
•Участвовать в архитектурных обзорах и проводить сессии threat modeling
•Анализировать результаты пентестов, оценок уязвимостей, SAST, DAST, dependency scanning и container scanning, классифицировать и приоритизировать находки
•Поддерживать команды разработки в устранении проблем, отслеживать планы исправлений и их SLA
•Координировать пентесты с внешними поставщиками: определять объём работ, валидировать находки и сопровождать до закрытия
•Интегрировать средства контроля безопасности в CI/CD пайплайны и автоматизировать проверки
•Проводить воркшопы по Secure Coding, продвигать OWASP Top 10, создавать Security Champions внутри команд
•Определять метрики и показатели безопасности приложений
Требования
•Предыдущий опыт в разработке программного обеспечения и архитектуре приложений с переходом в Application Security
•Сильный опыт с хотя бы одним стеком: Java (Spring Boot, REST APIs, Maven) или C# (.NET Framework / .NET Core, ASP.NET)
•Linux, shell-скриптинг и базовое системное hardening
•Знание облачных технологий (обязательно), с реальным опытом развертывания приложений, предпочтительно AWS и/или Azure
•OWASP Top 10, OWASP ASVS и лучшие практики Secure Coding
•Threat modeling, аутентификация и авторизация (OAuth2, OpenID Connect, JWT)
•Безопасность API и безопасное проектирование API
•Прикладная криптография (TLS, жизненный цикл ключей и сертификатов, безопасное хеширование)
•Управление секретами (хранилища секретов, ротация, избегание секретов в коде)
•Опыт работы с такими инструментами, как SonarQube, Checkmarx, Fortify, Veracode, Snyk, Dependabot, OWASP ZAP, Burp Suite или Trivy
•Способность влиять без иерархических полномочий и обучать команды разработки
Будет плюсом
•Angular frontend (JavaScript, TypeScript)
•Опыт работы с другими облаками (например, Google Cloud), который считается релевантным и переносимым
Условия
Долгосрочный проект на полную занятость с прямым влиянием на зрелость безопасности приложений всей организации и межфункциональной видимостью с командами архитектуры, разработки, операций и корпоративной безопасности. Это не аудиторская роль — это роль по созданию и выстраиванию процессов. Если вам нравится быть близко к коду и при этом менять то, как работают команды, это место для вас.
