AppSec BP

Локация: Россия; полная удалённая работа или гибридный формат. ИТ-хабы доступны в Москве, Санкт-Петербурге и Екатеринбурге, сезонный коворкинг — в Сочи.

Компания

Альфа-Банк — банк с ИТ-подразделениями и современным технологическим стеком.

Что делать

• Участвовать в задачах на всех этапах жизненного цикла проектов — от предпроектных исследований до внедрения и последующего контроля.
• Анализировать архитектуру решений, проектную документацию, бизнес-процессы и планы разработки с точки зрения безопасности.
• Моделировать сценарии угроз, согласовывать риски и формировать требования и рекомендации к новым функциям.
• Проводить Code Review, анализировать результаты автоматизированного и ручного сканирования, выявлять и устранять уязвимости.
• Приоритизировать бэклог уязвимостей и контролировать их исправление.
• Поддерживать команды разработки по вопросам информационной безопасности, безопасного кода, архитектуры и требований безопасности; участвовать в расследованиях инцидентов.

Требования

• Высшее образование в области информационной безопасности.
• 3–4 года общего опыта в практическом анализе защищённости и анализе архитектурной документации.
• Глубокие знания основ информационной безопасности, протоколов, средств защиты, инфраструктуры PKI и принципов работы криптографических алгоритмов.
• Знание Application Security и умение находить и устранять веб-уязвимости из OWASP Top 10, OWASP Mobile Top 10 и CWE Top 25.
• Опыт экспертизы архитектуры информационных систем, поиска ошибок и уязвимостей в проектной документации, включая логику бизнес-процессов, и подготовки аргументированных механизмов защиты.
• Знание технологий построения прикладных систем, включая микросервисы и контейнеризацию, а также анализ кода и программирование.
• Знание современных веб-приложений, CI/CD, SSDLC и практик повышения защищённости веб-приложений.
• Знание регуляторных требований в области информационной безопасности и умение применять их к разрабатываемому функционалу.
• Знание риск-ориентированного подхода, умение проводить качественную оценку рисков и формировать сценарии угроз; профессиональное владение Burp Suite, включая кастомные расширения, многоуровневые атаки и комбинирование техник.
• Высокие коммуникативные навыки: взаимодействие с бизнесом, ИТ, проектными командами и лидерами подразделений, ведение групповых обсуждений, аргументированное влияние на решения и конструктивная работа с критикой.

Хорошо, если есть

• Опыт участия в CTF и bug bounty.
• Сертификации OSCP, OSWE, PortSwigger Web Security Academy, CEH или CISSP.
• Опыт написания правил поиска уязвимостей на CodeQL.
• Владение Java, Python или Go для создания веб-приложений.

Культура и преимущества

• Полная удалённая работа или гибридный формат на выбор, гибкий график.
• Заработная плата обсуждается по итогам собеседования; предусмотрена квартальная премия по KPI.
• ДМС с первых дней, стоматология, обслуживание в клиниках, страхование и компенсация 10 дней больничного.
• Оплата профильных конференций и курсов, поддержка подготовки к публичным выступлениям и написанию статей.
• Доступ к корпоративным библиотекам Alpina Digital, собственные спортзалы и скидки на услуги партнёров.