Инженер по безопасности приложений / DevSecOps
Описание
Ведущий российский фармацевтический производитель, в связи с развитием направления информационной безопасности, приглашает в свою команду Инженера по безопасности приложений / DevSecOps. Обязанности: Выстраивать и развивать направление Application Security и практики безопасной разработки практически с нуля, интегрируя требования ИБ в жизненный цикл создания и сопровождения приложений; Формировать единый подход к безопасности веб-приложений, API, мобильных решений и интеграций с внутренними системами; Участвовать в создании централизованного технологического контура разработки и DevSecOps: Git-платформа, CI/CD, хранилища артефактов и контейнеров, типовые пайплайны и другие необходимые компоненты; Встраивать автоматизированные проверки безопасности в процессы CI/CD и развивать security-gates перед выпуском изменений; Настраивать и сопровождать инструменты SAST, SCA, DAST, Secret Scanning, проверки контейнеров и IaC, обеспечивая их использование командами разработки; Разрабатывать унифицированные шаблоны пайплайнов и механизмы подключения проверок, чтобы команды могли использовать готовые безопасные практики без индивидуальной настройки каждого проекта; Анализировать результаты сканирований, подтверждать реальные уязвимости, выявлять ложные срабатывания и совместно с разработчиками определять приоритеты и способы устранения; Участвовать в оценке архитектуры новых и модернизируемых информационных систем с позиции информационной безопасности, в том числе проводить анализ изменений и отдельных компонентов приложений; Формировать требования и технические стандарты по безопасной разработке для разработчиков и DevOps-команд; Участвовать в моделировании угроз и применении принципов secure-by-design для критичных систем и значимых изменений; Контролировать устранение критических и высоких уязвимостей, отслеживать соблюдение установленных сроков их устранения; Участвовать в оценке безопасности решений, создаваемых внешними командами разработки, а также используемых сторонних компонентов; Развивать практики безопасного управления секретами, токенами, ключами и техническими учетными данными в процессе разработки; Участвовать в расследовании инцидентов, связанных с приложениями, API и цепочкой разработки; Формировать и отслеживать показатели эффективности AppSec: охват репозиториев проверками, количество и сроки устранения уязвимостей, соблюдение SLA, исключения и накопленный технический долг; Самостоятельно доводить технические инициативы от выбора подхода и инструмента до его внедрения и формирования работающего процесса. Требования: От 3 лет опыта в Application Security, DevSecOps, DevOps, информационной безопасности разработки или смежном техническом направлении; Практический опыт обеспечения безопасности приложений и понимание основных принципов Secure SDLC; Знание типовых уязвимостей веб-приложений и API, понимание OWASP Top 10 и OWASP API Security Top 10; Практический опыт работы с инструментами автоматизированного анализа безопасности кода, зависимостей, приложений, секретов, контейнеров или IaC. Важно наличие реального опыта настройки и применения таких инструментов, а не только формирования требований к ним; Хорошее понимание CI/CD и опыт самостоятельной интеграции инструментов безопасности в пайплайны; Опыт работы с Git-платформами (GitLab, GitHub, Bitbucket или аналогами); Понимание принципов построения централизованной платформы разработки, работы репозиториев артефактов и контейнеров; Понимание Docker и современных подходов к сборке и доставке приложений; опыт работы с Kubernetes, Helm, Terraform будет полезен; Практический опыт работы хотя бы с одним open-source инструментом в области Application Security / DevSecOps и готовность самостоятельно разбираться и внедрять новые решения; Умение самостоятельно анализировать результаты сканирования, отделять реальные уязвимости от ложных срабатываний и определять приоритеты исправлений; Понимание механизмов аутентификации и авторизации, управления сессиями, OAuth 2.0 / OIDC и принципов безопасности API; Способность обсуждать технические риски и способы устранения уязвимостей непосредственно с разработчиками; Понимание принципов threat modeling и подхода secure-by-design; Готовность самостоятельно развивать новое направление: от выбора инструментария и формирования стандартов до внедрения решений и выстраивания процессов; Навыки программирования или уверенного чтения кода на распространённых языках (Python, Java, JavaScript/TypeScript, C#, Go и др.) будут преимуществом. Условия: Работа в ведущей российской фармацевтической компании; Роль с высокой степенью самостоятельности и возможностью фактически сформировать направление Application Security / DevSecOps внутри компании; Работа над созданием единого контура безопасной разработки и внедрением DevSecOps-практик; Официальное трудоустройство и стабильная работа в крупной производственной компании; Гибридный формат работы: 4 дня в офисе, 1 день удалённо; ДМС и дополнительные корпоративные программы страхования.