AppSec инженер

Обязанности

• участвовать в проработке задач на всех этапах жизненного цикла проекта от предпроектных исследований до внедрения и контроля выполнения необходимых задач после внедрения;
• проводить анализ архитектуры решений на безопасность и участвовать в согласовании проектной документации (включая организационно-распорядительную, архитектурную и техническую документацию);
• моделировать сценарии угроз и участвовать в согласовании новых и пересмотре существующих рисков;
• анализировать планы и бэклог команд разработки, предъявлять требования и рекомендации к новым фичам;
• участвовать в расследованиях при выявлении инцидентов информационной безопасности;
• оказывать экспертную поддержку командам разработки по вопросам информационной безопасности, практикам написания безопасного кода, построения архитектуры информационных систем и выполнения требований безопасности;
• проводить Code Review по результатам автоматизированного и ручного анализа для выявления и устранения уязвимостей;
• проводить работу с результатами сканирования инструментов безопасной разработки для выявления и устранения уязвимостей;
• приоритизировать бэклог уязвимостей и контролировать их исправление.

Требования

• высшее образование со специализацией в области информационной безопасности;
• общий опыт работы в области практического анализа защищенности и анализа архитектурной документации не менее 2-х лет;
• знания в области основ информационной безопасности (протоколов, средств защиты информации, их предназначения, инфраструктуры Public Key Infrastructure и понимания принципа работы криптографических алгоритмов);
• знания в области Application Security, умение находить и устранять веб-уязвимости из OWASP Top 10, OWASP Mobile Top 10, Common Weakness Enumeration Top 25;
• знания в области экспертизы архитектуры информационных систем, умение находить ошибки/уязвимости на уровне проектной документации, в том числе логике бизнес-процессов и предлагать релевантные, аргументированные механизмы и средства защиты;
• опыт с технологиями построения прикладных систем, в том числе с использованием микросервисов и контейнеризации;
• опыт анализа кода и программирования;
• опыт с принципами работы современных веб-приложений, процессов Continuous Integration/Continuous Delivery и безопасной разработки Secure Software Development Life Cycle;
• опыт типовых практик по повышению защищенности веб-приложений;
• знание регуляторных требований в области информационной безопасности, умение соотносить область действия регуляторных требований к разрабатываемому или дорабатываемому функционалу, а также трансформировать регуляторное требование в практическую плоскость;
• знание методологии риск-ориентированного подхода, умение проводить качественную оценку рисков и формировать сценарии угроз;
• продвинутый уровень владения Burp Suite (опытный эксперт, автоматизация типовых задач);
• уверенные коммуникативные навыки для конструктивного взаимодействия с любым из смежных подразделений Банка (бизнес, информационные технологии, проектные команды, лидеры подразделений);
• способность быстро определить причины разногласий, предлагать компромиссные решения и сохранить позитивную атмосферу;
• уверенное представление информации перед аудиторией;
• умение давать конструктивную критику и принимать ее, формулировать предложения по улучшению;
• способность аргументированно влиять на мнения и решения коллег, используя логические доводы.

Будет плюсом

• опыт участия в Capture The Flag, Bug Bounty;
• сертификации Offensive Security Certified Professional, Offensive Security Web Expert, Portswigger Web Security Academy, Certified Ethical Hacker, Certified Information Systems Security Professional;
• опыт написания правил поиска уязвимостей на CodeQL;
• владение одним из языков для создания веб-приложений (Java, Python, Go).

Условия

• стабильный и прозрачный доход: размер заработной платы обсуждается по итогам собеседования + квартальная премия по результатам Key Performance Indicators;
• гибкий график работы: вы сможете планировать время так, как удобно вам и вашей команде;
• полную удаленку или гибрид на выбор, а также уютный ИТ-хаб в Москве, Санкт-Петербурге, Екатеринбурге и сезонный коворкинг в Сочи;
• сложные и интересные задачи, современный стек технологий;
• заботу о вашем здоровье: программа добровольного медицинского страхования с первых дней работы, куда входит стоматология, обслуживание в лучших клиниках города, страхование и компенсация 10-ти дней больничного;
• оплату посещения профильных конференций и курсов, помогаем с подготовкой к публичным выступлениям и написанием статей на Хабр;
• доступ к бесплатным корпоративным библиотекам Alpina Digital;
• предложения от Банка только для сотрудников: собственные спортзалы (Москва, Санкт-Петербург, Екатеринбург), а также скидки на услуги туристических агентств, продукты питания, в рестораны, бары, магазины;
• работа у трижды лучшего работодателя РФ по версии hh.ru, Forbes, РБК;
• программа развития Artificial Intelligence-грамотности: треки по работе с нейросетями от базового до продвинутого уровня.