Senior Application Security Engineer (Web3)

#vacancy #вакансия #job #ApplicationSecurity

Senior Application Security 
Формат: гибрид, 1 день в неделю в офисе, в другие дни – по необходимости (очные встречи и тд).
Офис: в Москва сити
Опыт в годах: От 5 лет
Описание проекта: под NDA
Требования:  
●3+ года опыта в Application Security / AppSec, из них не менее 2 лет на позициях с самостоятельным ведением проектов
●Предыдущий опыт в смежной сфере на смежной IT должности (суммарный опыт в IT должен быть не менее 5 лет)
●Уверенное практическое владение OWASP Top 10, OWASP ASVS, OWASP API Security Top 10
●Опыт проведения pentest web-приложений и API (ручной анализ + инструменты: Burp Suite Pro, OWASP ZAP и др.)
●Опыт внедрения и администрирования SAST/DAST/SCA инструментов (например: Semgrep, CodeQL, Checkmarx, SonarQube, Snyk, Dependency-Track, OWASP Dependency-Check)
●Опыт проведения security code review (уверенное чтение кода минимум на одном из языков: Java/Kotlin, Go, Python, C#)
●Практический опыт threat modeling (STRIDE, DREAD, PASTA или собственная методология)
●Знание сетевых и аутентификационных протоколов (TCP/IP, TLS, OAuth2/OIDC, JWT и пр.)
●Опыт работы с CI/CD (GitLab CI, Jenkins, GitHub Actions и пр.) и встраивания security-инструментария в пайплайны
●Понимание облачной инфраструктуры и контейнеризации (Docker, Kubernetes) с точки зрения security
●Английский язык — уровень чтения технической документации (Intermediate+)
●Внедрение и настройка инструментов статического (SAST), динамического (DAST) анализа и анализа зависимостей (SCA) в CI/CD
●Тюнинг правил под стек компании, снижение false positive
●Формирование процесса triage находок совместно с разработкой
●Ревью кода критичных модулей (аутентификация, работа с приватными ключами, обработка транзакций, интеграции с блокчейн-нодами / кастодианами)
●Проверка безопасности при code review
●Проведение threat modeling для нового функционала и сервисов
●Участие в архитектурных ревью с точки зрения безопасности
●Оценка рисков при интеграции с внешними сервисами (payment providers, блокчейн-ноды, KYC/AML-провайдеры и т.п.)
●Взаимодействие с development и DevOps командами, обучение разработчиков secure coding практикам
●Участие в bug bounty программе (триаж, валидация репортов)
●Ведение технической документации и security-гайдлайнов
●График:гибрид, 1 день в офисе обязательно
●В резюме указать период работы на проектах ранее, наличие чек-листа по требованиям
5. Дополнительные требования к кандидату:
●Опыт работы в блокчейн-индустрии, финтехе или Web3-проектах
●Понимание принципов работы блокчейн-транзакций, криптографии (симметричное/асимметричное шифрование, хэширование, подписи), управления приватными ключами и custody-решений
●Профильные сертификации: OSCP, WAPT, OSWE, CEH и пр.
●Опыт аудита смарт-контрактов (Solidity) или базовое понимание Web3-специфичных атак (reentrancy, front-running, flash loan attacks)
●Опыт участия в bug bounty программах (как исследователь или как триаж-специалист со стороны компании)
●Опыт с DevSecOps практиками и построением security-процессов "с нуля"
●Знание регуляторных требований: PCI DSS, ISO 27001, SOC 2
●Опыт использования Infrastructure as Code (Terraform) и security-сканирования IaC
●Внимательность к деталям и умение мыслить "как атакующий"
●Способность аргументированно доносить риски ИБ
●Проактивность — готовность предлагать улучшения процессов, а не только находить баги
●Умение работать в условиях высокой скорости разработки без потери качества security-контроля

Знание иностранного языка: Английский язык — уровень чтения технической документации (Intermediate+)

телеграм для связи Показать контакты