AppSec (DevSecOps) инженер/Специалист по безопасности разработки приложений

Мы крупнейший ритейлер в офлайне и онлайне в РФ.

3 страны присутствия

более 1300 магазинов

более 440 городов

300 000 заказов в сутки

2 Gb/s, 12K RPS на базовые сервисы

до 1.5 млн уникальных пользователей в сутки, более 6 млн в месяц
30+ сервисов
10+ продуктов

Мы ищем к себе в команду Специалиста по безопасности разработки приложений

Задачи:

• Проектирование ИБ-решений по направлению DevSecOps;
• Консультирование и поддержка команд разработки по вопросам КБ и практикам написания безопасного кода;
• Разработка архитектуры решений и методов реализации;
• Сбор и анализ предварительной информации о исходном коде АС;
• Разработка политик, правил технических требований к интеграции с репозиториями исходного кода и системами разработки;
• Настройка анализаторов и проведение сканирования исходных кодов, приложений (SAST/DAST);
• Автоматизация процессов сканирования;
• Выявления ложных срабатываний, разработка/корректировка правил;
• Подготовка отчетов об уязвимостях и рекомендаций по их устранению;
• Участие в разработке проектной, эксплуатационной документации, подготовке инструкций и формирования базы знаний;
• Взаимодействие с разработчиками прикладного ПО и профильными специалистами при внедрении нового функционала и устранении уязвимостей.

Требования к кандидату:

• Образование высшее техническое ИТ или ИБ;
• Знание и опыт администрирования Linux-систем
• Опыт работы на должностях: инженер, специалист по направлению AppSec/DevSecOps;
• Опыт внедрения, администрирования и сопровождения решений DevSecOps, Application Security, понимание принципов CI/CD;
• Опыт участия в проектах внедрения решений по безопасной разработке, в частности в построении, внедрении, поддержки и модернизации подходов SSDLC или DevSecOps;
• Уверенное знание фреймворков BSIMM, SAMM, DAF, а также опыт проведения аудита по ним
• Опыт работы с решениями класса SAST, DAST, опыт анализа и интерпретации отчетов об обнаруженных уязвимостях;
• Практический опыт работы с Docker, Kubernetes или Red Hat OpenShift
• Английский язык (чтение технической литературы).

Будет плюсом:

• Знания требований законодательства в области безопасной разработки (соответствующие требования 239 приказа ФСТЭК, ОУД4, ГОСТ 71207-2024, ГОСТ Р ИСО/МЭК 15408-3-2013 и др.)
• Опыт построения CI/CD с использованием DevSecOps продуктов;
• Умение писать скрипты для автоматизации задач (например, bash, Python,)
• Опыт работы с одним или несколькими языками программирования: Java/Kotlin, JavaScript, Python, Go
• Опыт работы с API и сборки контейнеров
• Опыт работы с Jenkins, GitLab CI, Docker, Kubernetes
• Опыт работы с одним или несколькими продуктами: Solar Appscreener, Checkmarx, Veracode, Microfocus Fortify, Contrast Security, Nexus IQ, Aqua Enterprise, Prisma Cloud, HashiCorp Vault, CyberArk Secrets Manager, open-source tools (semgrep, OWASP ZAP, DefectDojo, Trivy) для реализации механизмов ИБ в конвейере разработки
• Опыт разработки проектных решений и рабочей документации

Мы предлагаем:

• Официальное оформление в соответствии с ТК РФ, полностью "белая" зп
• Оформление в аккредитованную ИТ компанию
• Высокий уровень заработной платы (обсуждается индивидуально, в зависимости от ваших ожиданий)
• Дружный коллектив
• Комфортный современный офис в районе мцк/мжд/метро Окружная (пешая доступность) или метро Петровско-Разумовская (10 минут на транспорте)
• График работы: 5/2, гибкое начало рабочего времени, работа в офисе или гибридный график (частично-удаленный формат работы) на выбор, готовы обсуждать также полную удаленку
• Расширенный полис ДМС
• до 20% скидка на продукцию компании
• Корпоративные мероприятия, заинтересованность в развитии сотрудников
• Хорошая техническая оснащенность: Современный макбук