Аналитик по информационной безопасности среднего уровня, операции по управлению уязвимостями (Северная Америка)

GitLab — интеллектуальная платформа оркестрации для DevSecOps. GitLab помогает организациям повышать продуктивность разработчиков, улучшать операционную эффективность, снижать риски в области безопасности и соответствия требованиям и ускорять цифровую трансформацию. Более 50 миллионов зарегистрированных пользователей и более 50% компаний из списка Fortune 100* доверяют GitLab выпуск более качественного и безопасного программного обеспечения быстрее.

Те же принципы, заложенные в наши продукты, отражаются в том, как работает наша команда: мы рассматриваем ИИ как ключевой множитель продуктивности, и от всех членов команды ожидается интеграция ИИ в ежедневные рабочие процессы для повышения эффективности, инноваций и влияния. GitLab — место, где карьера ускоряется, инновации процветают, и каждый голос ценится. Наша высокоэффективная культура основана на наших ценностях и непрерывном обмене знаниями, что позволяет членам команды раскрывать свой потенциал, сотрудничая с лидерами отрасли в решении сложных задач. Создавайте будущее вместе с нами, пока мы строим технологии, которые меняют то, как мир разрабатывает программное обеспечение.

*Fortune 500® — зарегистрированная торговая марка Fortune Media IP Limited, используется по лицензии. Утверждение основано на данных GitLab. Fortune 100 относится к компаниям из топ-20% рейтинга списка Fortune 500 за 2025 год, опубликованного в июне 2025 года. Fortune и Fortune Media IP Limited не связаны с GitLab и не одобряют продукты или услуги GitLab.

Обзор этой роли

Будучи аналитиком по безопасности в команде Product Security Vulnerability Operations GitLab, вы будете помогать защищать клиентов GitLab, проводя триаж отчётов о безопасности, поддерживая операции по управлению уязвимостями и координируя понятные коммуникации с исследователями безопасности, клиентами и внутренними командами.

Вы будете тесно работать с инженерами PSIRT, командой управления уязвимостями, инженерией безопасности, юридическим отделом, Customer Success, поддержкой и коммуникациями. Эта роль — отличная возможность для специалиста по безопасности на раннем этапе карьеры, который любознателен, организован, внимателен к деталям и стремится наращивать экспертизу в области реагирования на уязвимости продуктов.

Эта роль открыта для кандидатов по всей Северной Америке, однако мы приветствуем заявки от тех, кто базируется на западном побережье США или западном побережье Канады (Британская Колумбия), поскольку команда планирует расширить покрытие в часовом поясе Pacific Time.

Чем вы будете заниматься

• Проводить триаж входящих отчётов bug bounty, включая проверку качества отчёта, валидацию находок, оценку потенциального воздействия, выявление дубликатов и направление отчётов соответствующим командам.
• Проводить триаж уязвимостей, выявленных в ходе мероприятий по управлению уязвимостями, и помогать отслеживать их на этапах оценки, устранения и закрытия.
• Работать с инженерами PSIRT и командами разработки для сбора технических деталей, воспроизведения проблем и уточнения затронутых продуктов, версий и конфигураций.
• Поддерживать оценку серьёзности с использованием фреймворков и терминологии, таких как CVE, CVSS, CWE и OWASP.
• Профессионально и уважительно общаться с исследователями безопасности, участвующими в согласованном раскрытии уязвимостей и программах bug bounty.
• Поддерживать роль GitLab как органа присвоения номеров CVE, подготавливая информацию для назначения CVE, ведя точные записи и помогая координировать мероприятия, связанные с CVE.
• Представлять GitLab в качестве действующего представителя CNA в обсуждениях и операциях, связанных с CVE, эскалируя вопросы и координируя работу с соответствующими внутренними и внешними заинтересованными сторонами.
• Готовить и координировать коммуникации для клиентов об уязвимостях безопасности, исправлениях, мерах снижения рисков и информации о релизах совместно с PSIRT, юридическим отделом, Customer Success, поддержкой и корпоративными коммуникациями.
• Поддерживать точные записи по инцидентам, срокам, переписке с исследователями, статусу устранения и последующим действиям.
• Мониторить очереди и операционные метрики для выявления тенденций, «застарелых» элементов, повторяющихся проблем и возможностей улучшить качество и согласованность реагирования.
• Создавать и улучшать runbook’и, процедуры, шаблоны и другую документацию, делающую обработку уязвимостей более эффективной и прозрачной.
• Участвовать в передаче инцидентов, документировании анализа первопричин, мероприятиях по извлечению уроков и обзорах безопасности продуктов.
• Наращивать техническую и операционную экспертизу в PSIRT, bug bounty, управлении уязвимостями и согласованном раскрытии уязвимостей.

Что вы принесёте с собой

• Опыт на раннем этапе карьеры или эквивалентное образование в области кибербезопасности, разработки ПО, информационных технологий или смежной области. Приветствуются релевантные стажировки, курсы, лабораторные работы, исследования, работа с клиентами или практические проекты по безопасности.
• Базовое понимание уязвимостей программного обеспечения и концепций безопасности, включая веб-приложения, API, среды CI/CD, аутентификацию и авторизацию.
• Знакомство с терминологией безопасности, такой как CVE, CVSS, CWE, OWASP Top 10 и согласованное раскрытие уязвимостей.
• Высокое внимание к деталям и способность организовывать и расставлять приоритеты среди множества отчётов или рабочих задач.
• Чёткие навыки письменной и устной коммуникации, с умением объяснять технические темы как технической, так и нетехнической аудитории.
• Опыт работы с платформой bug bounty или раскрытия уязвимостей, такой как HackerOne или Bugcrowd.
• Опыт просмотра отчётов о безопасности, участия в соревнованиях capture-the-flag, проведения исследований уязвимостей или работы с инструментами безопасности.
• Знакомство с присвоением CVE, процессами CNA, security advisories или базами данных уязвимостей.
• Будет плюсом: базовый опыт скриптинга, анализа логов, трекинга задач или анализа данных; опыт написания технической документации, коммуникаций с клиентами, ответов в поддержку или операционных процедур.

О команде

GitLab Product Security Vulnerability Operations — глобально распределённая команда, которая помогает обеспечивать выпуск безопасных приложений, которым могут доверять клиенты. VulnOps выступает центральной точкой контакта для внешних исследователей безопасности и помогает управлять политиками, процессами и руководствами, используемыми для устранения уязвимостей в поддерживаемых продуктах GitLab.

Члены команды сотрудничают между регионами, используя документированные процессы, автоматизацию и структурированные передачи дел для поддержки устранения уязвимостей и постоянного улучшения операций.

Диапазон базовой заработной платы для указанного уровня этой роли в настоящее время действует только для резидентов Соединённых Штатов. Этот диапазон отражает базовую ставку заработной платы по роли в различных локациях по США. Уровень грейда и диапазоны зарплат определяются по результатам собеседований и оценке образования, опыта, знаний, навыков, способностей кандидата, справедливости по отношению к другим членам команды, соответствия рыночным данным и географическому расположению. Диапазон базовой зарплаты не включает бонусы, долю в капитале или льготы. Подробнее о наших льготах и доле в капитале. Для ролей в продажах также предусмотрена стимулирующая выплата до 100% от предлагаемой базовой зарплаты.

Диапазон зарплаты в США$115,000—$150,000 USD

Как GitLab поддерживает штатных сотрудников

• Льготы для здоровья, финансов и благополучия
• Гибкий оплачиваемый отпуск 
• Группы ресурсов для сотрудников
• Доля в капитале и план выкупа акций сотрудниками
• Фонд роста и развития
• Отпуск по уходу за ребёнком 

Обратите внимание, что мы приветствуем интерес кандидатов с разным уровнем опыта; многие успешные кандидаты не соответствуют каждому отдельному требованию. Кроме того, исследования показывают, что представители недостаточно представленных групп реже подают заявку на вакансию, если не соответствуют всем квалификационным требованиям. Если вас вдохновляет эта роль, подайте заявку и позвольте нашим рекрутерам оценить ваше резюме.

Правила найма по странам: GitLab нанимает новых сотрудников в странах по всему миру. Все наши роли удалённые, однако для некоторых ролей могут действовать особые требования к локации. Команда Talent Acquisition поможет ответить на вопросы о локации после начала процесса подбора.  

Политика конфиденциальности: Ознакомьтесь с нашей политикой конфиденциальности при подборе персонала. Ваша конфиденциальность важна для нас.

GitLab гордится тем, что является работодателем с равными возможностями и придерживается политики позитивных действий. Политики и практики GitLab в области подбора, трудоустройства, развития карьеры и продвижения, а также выхода на пенсию основаны исключительно на заслугах, независимо от расы, цвета кожи, религии, происхождения, пола (включая беременность, лактацию, сексуальную ориентацию, гендерную идентичность или гендерное самовыражение), национального происхождения, возраста, гражданства, семейного положения, психических или физических ограничений, генетической информации (включая семейную медицинскую историю), статуса увольнения из вооружённых сил, защищённого статуса ветерана (включая инвалидов-ветеранов, недавно уволенных ветеранов, ветеранов с боевым или кампанейским знаком отличия и ветеранов с медалью за службу в вооружённых силах) или любого другого основания, защищённого законом. GitLab не терпит дискриминации или домогательств по любому из этих признаков. См. также политику равных возможностей трудоустройства GitLab и EEO is the Law. Если у вас есть инвалидность или особые потребности, требующие разумных приспособлений, сообщите нам об этом в ходе процесса подбора.