Инженер по безопасной разработке (DevSecOps)

Локация: Уфа, улица 50 лет СССР, 27; работа на месте работодателя или в гибридном формате. Также готовы рассмотреть дистанционное сотрудничество.

Заработная плата определяется по результатам собеседования и зависит от навыков и опыта кандидата.

Компания

Электронные офисные системы с 1994 года создает системы управления информацией, СЭД и ECM-платформы для государственных и коммерческих организаций; продукты установлены у более 7000 клиентов и используются более чем на 1 000 000 рабочих мест.

Что делать

• Проводить статический и динамический анализ кода, фаззинг-тестирование, компонентный анализ и тесты на проникновение.
• Анализировать результаты сканеров, верифицировать уязвимости, определять их критичность и меры снижения рисков.
• Готовить рекомендации по устранению уязвимостей, аудит-отчеты и контролировать исправление замечаний разработчиками.
• Работать с системами CI/CD и участвовать в формировании требований информационной безопасности и моделировании угроз.
• Проводить архитектурные ревью и формировать требования безопасности к новым функциям на этапах проектирования и тестирования.
• Консультировать внутренние и внешние команды по организации SDLC и процесса DevSecOps.

Требования

• Высшее или неоконченное высшее образование в области информационных технологий или информационной безопасности.
• Знание уязвимостей OWASP Top-10, принципов их возникновения и методов устранения.
• Опыт разворачивания и применения инструментов безопасной разработки, включая SAST и DAST.
• Опыт работы с одним или несколькими инструментами CI/CD, включая Git или AzureDevOps.
• Опыт работы с Git, Confluence, AzureDevOps и системами администрирования проектов и репозиториев.
• Знание NIST, OWASP, ФСТЭК, OWASP SAMM и Microsoft SDL.
• Понимание принципов DevSecOps в компании-разработчике ПО, современных веб-приложений и процессов CI/CD.
• Уверенное знание ГОСТ 56939-2016 и документов ФСТЭК и ФСБ в части сертификации программного обеспечения.

Хорошо, если есть

• Опыт расследования инцидентов, проектирования информационных систем и систем безопасной разработки.
• Опыт управления небольшой командой информационной безопасности.
• Знание стандартов и практик разработки безопасного программного обеспечения, а также современных средств защиты веб-приложений.
• Знание методологии управления проектами и опыт подготовки технических требований, архитектуры решений, планов и графиков.
• Понимание SSDLC и DevSecOps.
• Опыт работы с АК-ВС3, Svace, Dependency-Track и аналогичными инструментами.
• Английский на уровне чтения технической документации.

Культура и преимущества

• Полная занятость, гибкий график и возможность дистанционного сотрудничества.
• Официальное оформление по ТК РФ и белая заработная плата с выплатами точно в срок.
• Материальная помощь к отпуску, компенсация фитнеса и ДМС.
• Обучение и сертификация за счет компании.
• Работа над крупными федеральными и региональными проектами, молодой коллектив, минимум бюрократии, корпоративные мероприятия и team building.