Webbankir ищет AppSec Engineer, который будет отвечать за развитие безопасной разработки на уровне всей компании. Вам предстоит работать с разными командами разработки: внедрять практики Secure SDLC, помогать командам встроить безопасность в процессы разработки, автоматизировать проверки и повышать зрелость Application Security.
Вы будете анализировать приложения и архитектуру, работать с артефактами разработки, находить уязвимости, формировать рекомендации по исправлению и сопровождать команды до устранения рисков. Это непрерывный процесс: анализ → рекомендации → исправления → улучшение практик безопасности.
Чем предстоит заниматься:
- Имплементировать и развивать процесс Secure SDLC (SSDLC) в компании: определять требования безопасной разработки, помогать командам их внедрять и контролировать выполнение.
- Взаимодействовать с командами разработки на разных направлениях, консультировать по вопросам Application Security и помогать находить оптимальные решения.
- Внедрять, настраивать и развивать инструменты безопасной разработки (SAST, DAST, SCA/OSA и др.), анализировать результаты их работы.
- Интегрировать инструменты безопасности в CI/CD-процессы, автоматизировать проверки и развивать DevSecOps-подход.
- Проводить анализ безопасности разрабатываемого ПО и архитектуры приложений, выявлять уязвимости и потенциальные риски.
- Контролировать устранение обнаруженных уязвимостей, готовить рекомендации для команд разработки и сопровождать процесс исправления.
- Участвовать в развитии стандартов, методологий и практик безопасной разработки внутри компании.
Наши ожидания:
- Знание OWASP Top 10, OWASP ASVS, Testing Guide, Code Review Guide и других методологий и практик безопасной разработки.
- Понимание современных процессов разработки ПО: Agile, SDLC, CI/CD, DevOps.
- Опыт работы с инструментами SAST, DAST, SCA/OSA и их интеграции в процессы разработки.
- Практический опыт настройки security-проверок в CI/CD, в том числе в GitLab Pipeline.
- Умение писать пайплайны с нуля, работать с include и шаблонами.
- Опыт харденинга Kubernetes (например, CIS Benchmarks) и работы с runtime security решениями для Kubernetes.
- Опыт безопасной настройки Docker-контейнеров: применение security best practices, создание и настройка безопасных образов.
- Умение разбираться в чужом коде (Golang/Python/Bash/SQL).
- Понимание принципов работы современных веб-приложений и технологий: XML-RPC, REST, SOAP, SOP, CORS, HSTS, CSP, OAuth2 и др.
Что мы предлагаем:
- удаленный формат работы;
- предоставляем необходимую технику для комфортной работы;
- скидки и специальные предложения от Prime Zone для сотрудников компании;
- возможность работать с сильной инженерной командой и задачами уровня Middle+ / Senior, где можно влиять на процессы безопасности всей компании;
- обучение за счет компании: поддерживаем развитие экспертизы и помогаем расширять профессиональные навыки;
- возможность влиять на развитие процессов Application Security и внедрять современные практики безопасной разработки.
