Описание
Разрабатываем АРМ для нотариальных контор: собственную CRM, работу с документами, личный кабинет клиентов и функции ИИ. Продукт проходит доработку и учебные испытания. Готовимся к коммерческим внедрениям и лицензированию ТЗКИ/СЗКИ; лицензии пока не получены. Ищем практикующего специалиста, который лично разберётся в продукте, проверит защиту и организует подготовку к безопасной эксплуатации. Разработчики отвечают за бизнес-функции и исправление кода; вы — за требования безопасности, технические решения, проверку результатов и организацию работ инженеров и профильных подрядчиков.
Задачи
•Описать архитектуру и движение данных: компьютер нотариуса, база и файлы, личный кабинет, внешние сервисы, ИИ, резервные копии и техническая поддержка.
•Проверить имеющиеся защитные механизмы и результаты испытаний.
•Подготовить список препятствий к выпуску: риск, воспроизведение, исполнитель, срок и критерий исправления.
•Лично проверять права пользователей, изоляцию клиентов и контор, выдачу документов, историю, журнал действий, административный и удалённый доступ.
•Определить безопасные границы ИИ: допустимые данные, полномочия, подтверждение значимых действий человеком, защита от инструкций во вложениях, обработка ошибок и повторных запросов.
•Совместно с разработчиками внедрить проверку изменений и компонентов, разбирать найденные уязвимости, проверять исправления на конкретной версии.
•Организовать и лично участвовать в испытаниях установки, обновления, отката и восстановления базы и файлов. Измерить время восстановления и возможную потерю последних изменений.
•Подготовить повторяемую установку на рабочем ПК нотариуса: требования к окружению, инструкции, настройки защиты, временные доступы поддержки, критерии приёмки и обучение.
•Вместе с профильным юристом уточнить границы ТЗКИ/СЗКИ и работ подрядчиков; подготовить техническую часть лицензирования, требования к персоналу, оснащению, документации и производственному контролю.
•Подготовить техническое описание поставки: готовые функции, ограничения, необходимые компоненты, порядок обновлений и сопровождения. Необходимые решения по ЕИС, криптографии и допускам проверяются отдельно.
•Проверка каждого выпуска и существенных изменений, заключение о готовности и оставшихся ограничениях.
•Техническая подготовка новых внедрений и проверка результатов установки.
•Разбор значимых сбоев и событий безопасности, организация восстановления и устранения причин.
•Плановые проверки восстановления, прав доступа, уязвимостей компонентов и состояния средств защиты.
•Актуализация документации и требований, постановка задач и приёмка результатов инженеров и подрядчиков.
Требования
•Практический опыт безопасности ПО и информационных систем: умение показать на примере проекта свою роль, обнаруженные проблемы, исправления и результаты проверки.
•Умение читать прикладной код, разбирать HTTP/API и SQL-запросы, самостоятельно воспроизводить дефекты авторизации и доступа к данным.
•Владение хотя бы одним языком для проверочных скриптов.
•Понимание аутентификации, сессий, разграничения прав, защиты файлов и секретов, журналирования и изоляции данных разных организаций.
•Практическое понимание Windows/Linux, сетевых соединений и TLS, баз данных, виртуализации, резервного копирования и восстановления.
•Умение применять анализ кода и зависимостей, сканирование и ручные проверки; отличать реальную уязвимость от ложного срабатывания и описывать ограничения проверки.
•Опыт выпуска, внедрения или сопровождения программного продукта; умение составить программу испытаний и проверить результат исполнителя.
•Умение объяснять владельцу риски, стоимость и приоритеты простым языком, самостоятельно планировать работу и доводить задачи до проверяемого результата.
•Для планируемого руководства лицензируемыми работами — подтверждаемый профильный стаж и образование.
•Для СЗКИ: высшее по ИБ и стаж соответствующих работ от 5 лет; либо предусмотренное требованиями математическое, естественно-научное, инженерное или техническое высшее и стаж от 7 лет; либо иное высшее, переподготовка по ИБ от 360 аудиторных часов и профильный стаж от 5 лет.
•Соответствие требованиям ТЗКИ и СЗКИ проверяется отдельно. Общий стаж ИТ не заменяет опыт соответствующих работ.
Будет плюсом
•Опыт подготовки компании к лицензированию ФСТЭК и организации реального производственного контроля
•Опыт безопасности систем с конфиденциальными данными, локальных установок у клиентов и личных кабинетов
•Опыт Node.js/TypeScript, PostgreSQL и автоматизации проверок выпусков
•Практика безопасности ИИ-приложений, анализа вредоносных вложений, динамических испытаний или фаззинга
•Опыт постановки задач небольшой команде и приёмки работ внешних специалистов
Условия
•Постоянная работа в офисе: Красногорск, Красногорский бульвар, 4, корпус 1.
•Основное место работы, трудовой договор.
•Базовый график 5/2; рабочие часы и объём обязанностей обсуждаем с кандидатом.
•Уровень оплаты обсуждаем индивидуально. Укажите желаемую зарплату в рублях в месяц до вычета НДФЛ и поясните, на какой объём личной работы и ответственности рассчитаны ожидания.
