Что мы предлагаем:

Гибридный график работы 5/2 (2 дня в офисе, остальные удаленно);
Комфортабельный современный офис в Москве рядом с м. Серпуховская/Павелецкая;
Официальное трудоустройство в соответствии с ТК РФ с первого дня;
Корпоративные скидки BestBenefits (800+ магазинов и онлайн-сервисов);
ДМС после прохождения испытательного срока;
Корпоративные курсы английского языка.

Чем предстоит заниматься:

Проводить аудит безопасности сервисов, приложений и новых фич (ReleaseManagement): проверять архитектуру, код, среды (WEB, API), выявлять риски и сопровождать внедрение мер по их устранению.
Анализировать код на уязвимости с помощью инструментов SSDLC (SAST, DAST, SCA), фильтровать ложные срабатывания и приоритизировать реальные проблемы.
Формировать рекомендации по безопасной архитектуре в соответствии с лучшими практиками (в т. ч. OWASP), описывать целевую архитектуру и требования к безопасности.
Внедрять и поддерживать security gates в пайплайнах, участвовать в построении процессов безопасной разработки (SSDLC).
Вести отчётность по аудитам, заводить и сопровождать задачи в Jira до закрытия и перепроверки, контролировать, чтобы не рос технический долг по безопасности.
Участвовать во внедрении и сопровождении процессов Secret Management (например, HashiCorp Vault или аналогов).

Наши ожидания:

Опыт работы в AppSec / безопасной разработке от 2 лет.
Уверенное знание OWASP Top 10 и CWE Top 25, умение применять эти знания на практике: находить уязвимости и предлагать конкретные меры по их устранению.
Практический опыт работы с инструментами SSDLC: SAST, DAST, SCA (понимание, как настраивать интеграции в CI/CD, как работать с отчётами и снижать шум).
Понимание принципов работы современных веб‑приложений и API: REST, SOAP, SOP, CORS, HSTS, CSP, OAuth, JWT.
Опыт внедрения процессов Secret Management и работы с решениями класса Secret Management (HashiCorp Vault или аналоги).
Умение взаимодействовать с командами ИБ, разработки, тестирования и другими, договариваться о приоритетах и сроках устранения уязвимостей.

Будет плюсом:

Опыт моделирования угроз (STRIDE, DREAD) и умение включать это в процесс разработки.
Навыки работы с конкретными инструментами: Semgrep, OWASP ZAP, Trivy, SonarQube, DefectDojo и т. п.
Знание специфики защиты микросервисов, облачных сред или конкретных фреймворков, используемых в компании.
Знание стандартов безопасности: PCI DSS, а также российских требований к безопасной разработке и защите информации (152‑ФЗ, ГОСТ Р 56939‑2016, приказы ФСТЭК — понимание, как применять требования в архитектуре и разработке).
Опыт участия в пентестах.

Вакансии в НКО ПЛАТЕЖИ И РАСЧЕТЫ

Вакансии

AppSec-инженер

Вакансии в НКО ПЛАТЕЖИ И РАСЧЕТЫ

Вакансии

AppSec-инженер