О роли
Ищем специалиста по информационной безопасности, который будет отвечать за безопасность разработки и цифровых продуктов компании. Основной фокус роли — развитие практик Application Security и DevSecOps, выявление и устранение уязвимостей, интеграция проверок безопасности в процессы разработки и CI/CD.
Необходимо будет тесно взаимодействовать с командами разработки, DevOps и архитектуры, помогая создавать защищённые приложения и сервисы без избыточного усложнения процессов разработки.
Чем предстоит заниматься
•Развивать и внедрять практики безопасной разработки (Secure SDLC / DevSecOps), формировать стандарты и технические требования информационной безопасности.
•Участвовать в проектировании и оценке безопасности архитектуры веб-приложений, микросервисов, API и интеграционных решений.
•Проводить Threat Modeling, выявлять потенциальные угрозы и оценивать риски информационной безопасности на этапах проектирования и разработки.
•Совместно с командами DevOps внедрять и развивать автоматизированные проверки безопасности в CI/CD: SAST, DAST, SCA, Secret Scanning, Container Security.
•Анализировать защищённость цифровых продуктов компании: интернет-магазина, мобильных приложений, личных кабинетов, клиентских сервисов и интеграций с внешними системами.
•Выявлять уязвимости веб-приложений, API и бизнес-логики, оценивать их критичность и определять приоритеты устранения с учётом технических и бизнес-рисков.
•Организовывать и сопровождать процесс управления уязвимостями: от выявления и регистрации до контроля устранения и проведения повторных проверок.
•Консультировать разработчиков по вопросам безопасного написания кода, устранения уязвимостей, применения механизмов аутентификации, авторизации и управления доступом.
•Участвовать в организации тестирования на проникновение, анализировать результаты проверок и контролировать выполнение рекомендаций.
•Оценивать риски безопасности при запуске новых продуктов, внедрении функциональности и подключении внешних сервисов.
•Участвовать в расследовании инцидентов, связанных с безопасностью приложений и цифровых сервисов.
•Развивать взаимодействие между командами ИБ, разработки, DevOps, QA и архитектуры, участвовать в технических обсуждениях и согласовании решений по безопасности.
Что потребуется для успешной работы
•Опыт работы в информационной безопасности от 3 лет, предпочтительно в направлениях Application Security, DevSecOps или безопасности веб-приложений.
•Опыт взаимодействия с командами разработки, DevOps и архитекторами при решении задач информационной безопасности.
•Хорошее понимание жизненного цикла разработки ПО (SDLC), процессов CI/CD и принципов безопасной разработки (Secure SDLC).
•Знание OWASP Top 10, OWASP API Security Top 10, основных уязвимостей веб-приложений, API и бизнес-логики.
•Понимание методологий Threat Modeling и подходов к оценке рисков безопасности архитектурных решений.
•Практические знания технологий и инструментов анализа безопасности: SAST, DAST, SCA, Secret Scanning.
•Понимание принципов работы REST API, микросервисной архитектуры, Docker и Kubernetes.
•Знание механизмов аутентификации и авторизации: OAuth 2.0, OpenID Connect, JWT, RBAC.
•Опыт анализа, классификации и приоритизации уязвимостей, подготовки рекомендаций по их устранению.
•Умение формулировать технические требования по информационной безопасности и аргументированно обсуждать риски с командами разработки.
Дополнительным преимуществом станут
•Опыт самостоятельного внедрения DevSecOps-практик и автоматизации проверок безопасности в CI/CD.
•Опыт работы с Burp Suite Professional, OWASP ZAP, Semgrep, SonarQube, Snyk или аналогичными инструментами.
•Знание Terraform, Kubernetes Security и принципов защиты облачной инфраструктуры.
•Опыт обеспечения безопасности высоконагруженных e-commerce-платформ.
•Опыт анализа безопасности мобильных приложений iOS и Android.
•Навыки автоматизации задач информационной безопасности с использованием Python или Bash.
•Знание требований PCI DSS в части безопасности платёжной инфраструктуры.
•Знание российского законодательства о персональных данных и применимых нормативных требований.
