Инженер по безопасности приложений / DevSecOps

АО «Акрихин» развивает практики безопасной разработки и усиливает контроль информационной безопасности в корпоративных и внешних информационных системах. В компании есть собственные и подрядные разработки, внешние веб-приложения, API и интеграции с внутренними системами. При этом централизованный контур разработки и единые инструменты DevSecOps находятся на ранней стадии развития, поэтому часть платформенных компонентов и стандартов потребуется выстраивать практически с нуля. Мы ищем инженера по безопасности приложений / DevSecOps, который станет внутренним владельцем технического направления AppSec: поможет встроить безопасность в жизненный цикл разработки, автоматизировать проверки и сформировать единые подходы безопасности для команд разработки. Основной фокус роли - безопасность приложений и DevSecOps, но мы ищем достаточно самостоятельного технического специалиста, который при необходимости сможет участвовать в развертывании и развитии базовой централизованной платформы разработки: репозитории, CI/CD, хранение артефактов, шаблоны пайплайнов и связанные с ними инструменты. Обязанности: Развивать процесс безопасной разработки и внедрять практики безопасности в жизненный цикл приложений. Участвовать в создании единого технологического контура разработки и DevSecOps. Формировать требования безопасности для веб-приложений, API, мобильных приложений и интеграций. Участвовать в выборе, внедрении и развитии централизованных инструментов разработки и CI/CD. Формировать стандартные CI/CD шаблоны и подходы, позволяющие подключать проверки безопасности без индивидуальной настройки каждого проекта. Участвовать в формировании единых требований к качеству и безопасности исходного кода. Анализировать результаты автоматизированных проверок, верифицировать находки и помогать разработчикам приоритизировать исправления. Формировать рекомендации и технические стандарты для разработчиков и DevOps. Участвовать в управлении секретами, токенами, ключами и техническими учетными данными в процессе разработки. Участвовать в расследовании инцидентов, связанных с приложениями, API и цепочкой разработки. Развивать процесс безопасной разработки и внедрять гейты безопасности в жизненный цикл приложений. Формировать требования безопасности для веб-приложений, API, мобильных приложений и интеграций. Встраивать автоматизированные проверки безопасности в CI/CD. Внедрять и сопровождать процессы SAST, SCA, сканирование секретов, DAST и IaC/безопасность контейнеров. Определять правила и гейты безопасности/качества для прохождения релиза. Контролировать устранение критичных и высоких уязвимостей приложений. Проводить анализ безопасности изменений и отдельных компонентов приложений. Участвовать в моделировании угроз для критичных систем и значимых изменений. Вести метрики AppSec: покрытие репозиториев проверками, количество и возраст уязвимостей, соблюдение SLA, исключения и известные долги. Требования: Опыт работы в Application Security, DevSecOps, DevOps или смежном техническом направлении от 3 лет. Хорошее понимание принципов безопасной разработки веб-приложений и API. Знание OWASP Top 10, OWASP API Security Top 10 и типовых классов уязвимостей. Практический опыт работы хотя бы с несколькими классами инструментов: SAST, SCA, DAST, Secret Scanning, Container/IaC Security. Хорошее понимание CI/CD и практический опыт работы с пайплайнами. Практический опыт работы с Git-платформами: GitLab, GitHub, Bitbucket или аналогами. Понимание принципов построения централизованного инструментария разработки. Понимание работы репозиториев артефактов и контейнеров. Базовое понимание контейнеризации и современных способов доставки приложений. Умение самостоятельно настроить интеграцию инструмента безопасности в CI/CD, а не только сформулировать требования к DevOps. Умение разбираться в результатах сканирования и отличать реальные уязвимости от ложных срабатываний. Понимание аутентификации, авторизации, управления сессиями, OAuth 2.0 / OIDC и безопасности API. Умение обсуждать уязвимости и способы их устранения с разработчиками на техническом уровне. Понимание принципов моделирования угроз и secure-by-design. Способность самостоятельно развивать направление и доводить технические инициативы от выбора решения до работающего процесса. Будет плюсом: Опыт построения DevSecOps-платформы или инструментария разработки с нуля. Практический опыт администрирования GitLab. Мы предлагаем: Конкурентоспособную официальную заработную плату; Участие в корпоративной программе премирования; Ежегодный пересмотр на основе принципа "pay for performance"; Добровольное медицинское страхование со стоматологией; Страхование жизни, страхование от несчастного случая; Оплата мобильной связи и предоставление мобильного телефона, ноутбука; Участие в развивающих корпоративных программах в рамках индивидуальных планов развития; Завтраки в офисе компании; Удобное расположение офиса - 5 мин. от метро Курская.