Инженер по безопасности приложений / DevSecOps

АО «Акрихин» развивает практики безопасной разработки и усиливает контроль информационной безопасности в корпоративных и внешних информационных системах.

В компании есть собственные и подрядные разработки, внешние веб-приложения, API и интеграции с внутренними системами. При этом централизованный контур разработки и единые инструменты DevSecOps находятся на ранней стадии развития, поэтому часть платформенных компонентов и стандартов потребуется выстраивать практически с нуля.

Мы ищем инженера по безопасности приложений / DevSecOps, который станет внутренним владельцем технического направления AppSec: поможет встроить безопасность в жизненный цикл разработки, автоматизировать проверки и сформировать единые подходы безопасности для команд разработки.

Основной фокус роли - безопасность приложений и DevSecOps, но мы ищем достаточно самостоятельного технического специалиста, который при необходимости сможет участвовать в развертывании и развитии базовой централизованной платформы разработки: репозитории, CI/CD, хранение артефактов, шаблоны пайплайнов и связанные с ними инструменты.

• Развивать процесс безопасной разработки и внедрять практики безопасности в жизненный цикл приложений.
• Участвовать в создании единого технологического контура разработки и DevSecOps.
• Формировать требования безопасности для веб-приложений, API, мобильных приложений и интеграций.
• Участвовать в выборе, внедрении и развитии централизованных инструментов разработки и CI/CD.
• Формировать стандартные CI/CD шаблоны и подходы, позволяющие подключать проверки безопасности без индивидуальной настройки каждого проекта.
• Участвовать в формировании единых требований к качеству и безопасности исходного кода.
• Анализировать результаты автоматизированных проверок, верифицировать находки и помогать разработчикам приоритизировать исправления.
• Формировать рекомендации и технические стандарты для разработчиков и DevOps.
• Участвовать в управлении секретами, токенами, ключами и техническими учетными данными в процессе разработки.
• Участвовать в расследовании инцидентов, связанных с приложениями, API и цепочкой разработки.
• Развивать процесс безопасной разработки и внедрять гейты безопасности в жизненный цикл приложений.
• Формировать требования безопасности для веб-приложений, API, мобильных приложений и интеграций.
• Встраивать автоматизированные проверки безопасности в CI/CD.
• Внедрять и сопровождать процессы SAST, SCA, сканирование секретов, DAST и IaC/безопасность контейнеров.
• Определять правила и гейты безопасности/качества для прохождения релиза.
• Контролировать устранение критичных и высоких уязвимостей приложений.
• Проводить анализ безопасности изменений и отдельных компонентов приложений.
• Участвовать в моделировании угроз для критичных систем и значимых изменений.
• Вести метрики AppSec: покрытие репозиториев проверками, количество и возраст уязвимостей, соблюдение SLA, исключения и известные долги.

• Опыт работы в Application Security, DevSecOps, DevOps или смежном техническом направлении от 3 лет.
• Хорошее понимание принципов безопасной разработки веб-приложений и API.
• Знание OWASP Top 10, OWASP API Security Top 10 и типовых классов уязвимостей.
• Практический опыт работы хотя бы с несколькими классами инструментов: SAST, SCA, DAST, Secret Scanning, Container/IaC Security.
• Хорошее понимание CI/CD и практический опыт работы с пайплайнами.
• Практический опыт работы с Git-платформами: GitLab, GitHub, Bitbucket или аналогами.
• Понимание принципов построения централизованного инструментария разработки.
• Понимание работы репозиториев артефактов и контейнеров.
• Базовое понимание контейнеризации и современных способов доставки приложений.
• Умение самостоятельно настроить интеграцию инструмента безопасности в CI/CD, а не только сформулировать требования к DevOps.
• Умение разбираться в результатах сканирования и отличать реальные уязвимости от ложных срабатываний.
• Понимание аутентификации, авторизации, управления сессиями, OAuth 2.0 / OIDC и безопасности API.
• Умение обсуждать уязвимости и способы их устранения с разработчиками на техническом уровне.
• Понимание принципов моделирования угроз и secure-by-design.
• Способность самостоятельно развивать направление и доводить технические инициативы от выбора решения до работающего процесса.

Будет плюсом:

• Опыт построения DevSecOps-платформы или инструментария разработки с нуля.
• Практический опыт администрирования GitLab.

Мы предлагаем:

• Конкурентоспособную официальную заработную плату;
• Участие в корпоративной программе премирования;
• Ежегодный пересмотр на основе принципа "pay for performance";
• Добровольное медицинское страхование со стоматологией;
• Страхование жизни, страхование от несчастного случая;
• Оплата мобильной связи и предоставление мобильного телефона, ноутбука;
• Участие в развивающих корпоративных программах в рамках индивидуальных планов развития;
• Завтраки в офисе компании;
• Удобное расположение офиса - 5 мин. от метро Курская.