РоссияRight Line
AppSec инженер
3 нед. назад
300k RUBРоссияMiddle
sastscadastфаззингdockerkubernetesgitlabpython
AppSec инженер в российской ИТ-компании Right Line, работающей с 2017 года, занимается безопасностью приложений в банковской и финансовой сферах.
О компании
- Мы - Right Line, российская ИТ-компания, работающая с 2017 года.
- Мы разрабатываем решения для банков и финансовых компаний.
Обязанности
- Проводить проверки приложений и сервисов на наличие уязвимостей (SAST, SCA, DAST, обнаружение секретов, фаззинг), готовить POC‑эксплуатации и понятные отчёты для команд
- Проводить триаж уязвимостей: оценка риска и влияния, приоритизация, постановка задач на исправление, контроль сроков и качества устранения уязвимостей
- Участвовать в проектировании: проводить моделирование угроз (например, STRIDE), ревью архитектуры по безопасности и дизайн‑решений, формулировать требования к аутентификации, авторизации, шифрованию и журналированию
- Развивать SSDLC и DevSecOps: определять и внедрять контроли по безопасности на этапах требований, дизайна, разработки, тестирования и эксплуатации, настраивать гейты безопасности в GitLab CI/CD
- Сопровождать и развивать AppSec‑инструменты: интеграция сканеров в конвейер разработки, настройка политик, исключений и отчётности, участие в выборе и пилотах новых решений
- Участвовать в аудитах безопасности сервисов и разборах инцидентов: анализ причин, выработка устойчивых мер, предотвращающих повторное возникновение уязвимостей целого класса
- Консультировать команды разработки и архитекторов по вопросам безопасной разработки, разбору и устранению уязвимостей, шаблонам безопасного кодирования
- Проводить тренинги, воркшопы и семинары по AppSec (OWASP Top 10 / API Security, безопасная аутентификация и управление сессиями, защита API и интеграций и т.п.)
- Исследовать новые векторы атак и тренды в AppSec, предлагать улучшения процессов и инструментов
Требования
- Высшее техническое образование (желательно профильное ИБ или сопоставимый практический опыт в разработке/безопасности приложений)
- Опыт работы в роли инженера по безопасности приложений от 3 лет, участие в реальных проектах по защите веб‑ или API‑сервисов в продакшене
- Практический опыт внедрения и эксплуатации инструментов:SAST, SCA, DAST, фаззинг, поиск секретов. Интеграция этих инструментов в CI/CD (желательно GitLab CI/CD)
- Опыт работы с Docker, Kubernetes, GitLab (или аналогичными системами контроля версий и CI/CD)
- Умение проводить ревью кода с фокусом на безопасность, давать разработчикам понятные и практичные рекомендации
- Владение одним из языков программирования (Python / Go / Bash)
- Глубокое понимание причин возникновения и способов эксплуатации уязвимостей из OWASP Top 10 и OWASP API Security, а также практического устранения этих проблем
- Навыки общения: умение объяснить сложные технические риски понятным языком, договариваться о приоритетах, конструктивно отстаивать позицию безопасности
- Готовность брать ответственность за результат: от качества найденных уязвимостей до того, чтобы команда действительно внедрила устойчивое исправление, а не обходной костыль
- Предпочтение отдаётся кандидатам, имеющим опыт работы в транзакционном бизнесе или платежных системах, с глубоким пониманием платёжных технологий и особенностей работы в сегментах B2B/B2G
Условия
- ЗП: 300 000 net