AppSec Technical Lead

Локация: Москва, офисный формат работы на месте работодателя

Компания

Сбер развивает практики Application Security и DevSecOps для повышения качества и эффективности security-проверок приложений.

Что делать

• Технически лидировать команду из 3 AppSec-инженеров, помогать принимать архитектурные и технические решения и развивать экспертизу команды.
• Проводить ревью технических решений, подходов к анализу уязвимостей, SAST-правил и security-автоматизаций.
• Планировать работу команды совместно с Product Owner, приоритизировать задачи с учётом технических рисков, бизнес-контекста и загрузки.
• Быть единой точкой входа для Product Owner по статусам, блокерам, рискам, roadmap, ограничениям и потребностям команды.
• Развивать интеграцию security-проверок в CI/CD, писать автоматизацию для интеграции сканеров, обработки и обогащения результатов и формирования метрик.
• Улучшать процессы SAST/SCA/DAST/MAST, исследовать новые инструменты и делать проверки полезнее для разработчиков.

Требования

• Опыт в Application Security от 4 лет либо сопоставимый опыт в разработке с последующим переходом в security; общий заявленный опыт — от 3 до 6 лет.
• Практический опыт технического лидерства, наставничества или координации AppSec/security-инженеров.
• Глубокое понимание secure SDLC, shift-left security и DevSecOps; практический опыт с SAST, SCA, DAST и/или MAST.
• Опыт интеграции security-проверок в CI/CD, анализа результатов сканирования, валидации уязвимостей, поиска false positives и приоритизации рисков.
• Опыт security code review на одном или нескольких языках: Java/Kotlin, Go, Python; уверенное владение одним из языков: Python, Java или Go.
• Опыт работы с Bash и взаимодействия с разработчиками по исправлению уязвимостей.
• Глубокое понимание OWASP Top 10, OWASP ASVS и OWASP Mobile Top 10.
• Понимание микросервисной архитектуры, REST/gRPC API, Kubernetes и контейнеризации.
• Понимание безопасности мобильных приложений и типовых рисков: insecure storage, insecure communication, некорректная работа с secrets, jailbreak/root detection, reverse engineering, certificate pinning и tampering; опыт работы с MAST-инструментами.
• Инструментальное владение AI для анализа, генерации и автоматизации.

Хорошо, если есть

• Опыт анализа Android/iOS-приложений.

Культура и преимущества

• Современный комфортный офис и офисный формат работы.
• Ежегодный пересмотр зарплаты и годовая премия.
• Корпоративный спортзал, зоны отдыха и более 400 образовательных программ СберУниверситета.
• Программа адаптации и помощь руководителя на старте.
• Расширенный ДМС, льготное страхование для семьи и корпоративная пенсионная программа.
• Льготная ипотечная программа, подписка Прайм и вознаграждение за рекомендации.