Инженер по безопасности приложений / DevSecOps

Локация: Москва, улица Земляной Вал, 9; гибридный формат работы

Компания

АКРИХИН развивает практики безопасной разработки и контроль информационной безопасности корпоративных и внешних информационных систем.

Что делать

• Развивать процесс безопасной разработки и встраивать практики безопасности и гейты в жизненный цикл приложений.
• Участвовать в создании централизованного технологического контура разработки и DevSecOps: репозитории, CI/CD, хранилища артефактов, шаблоны пайплайнов и связанные инструменты.
• Формировать требования безопасности для веб-приложений, API, мобильных приложений и интеграций, а также единые требования к качеству и безопасности исходного кода.
• Внедрять и сопровождать SAST, SCA, DAST, сканирование секретов, безопасность контейнеров и IaC; определять правила и гейты для релизов.
• Анализировать результаты сканирования, проверять находки, приоритизировать устранение уязвимостей и взаимодействовать с разработчиками и DevOps.
• Участвовать в управлении секретами, токенами и ключами, расследовании инцидентов, моделировании угроз и ведении метрик AppSec.

Требования

• От 3 лет опыта в Application Security, DevSecOps, DevOps или смежном техническом направлении.
• Хорошее понимание безопасной разработки веб-приложений и API, OWASP Top 10, OWASP API Security Top 10 и типовых классов уязвимостей.
• Практический опыт работы хотя бы с несколькими классами инструментов: SAST, SCA, DAST, Secret Scanning, Container Security или IaC Security.
• Хорошее понимание CI/CD и практический опыт работы с пайплайнами; умение самостоятельно интегрировать инструменты безопасности в CI/CD.
• Практический опыт работы с Git-платформами: GitLab, GitHub, Bitbucket или аналогами.
• Понимание принципов построения централизованного инструментария разработки, работы репозиториев артефактов и контейнеров.
• Базовое понимание контейнеризации и современных способов доставки приложений.
• Умение анализировать результаты сканирования и отличать реальные уязвимости от ложных срабатываний.
• Понимание аутентификации, авторизации, управления сессиями, OAuth 2.0 / OIDC и безопасности API.
• Умение технически обсуждать уязвимости и их устранение с разработчиками; понимание threat modeling и secure-by-design.
• Способность самостоятельно развивать направление и доводить технические инициативы от выбора решения до работающего процесса.

Хорошо, если есть

• Опыт построения DevSecOps-платформы или инструментария разработки с нуля.
• Практический опыт администрирования GitLab.

Культура и преимущества

• Официальная заработная плата и участие в корпоративной программе премирования.
• Ежегодный пересмотр вознаграждения по принципу pay for performance.
• Добровольное медицинское страхование со стоматологией, страхование жизни и от несчастного случая.
• Оплата мобильной связи, мобильный телефон и ноутбук.
• Развивающие корпоративные программы в рамках индивидуальных планов развития и завтраки в офисе.
• Офис расположен в 5 минутах от метро Курская.