Инженер по безопасности приложений финансовых решений

Right Line — российская ИТ-компания, которая разрабатывает решения для банков и финансовых компаний. Компания развивает практики безопасной разработки для внутренних продуктов и внедряет безопасность на всех этапах SDLC.

• Проводить проверки приложений и сервисов на наличие уязвимостей с помощью SAST, SCA, DAST, обнаружения секретов и фаззинга;
• Готовить POC-эксплуатации и понятные отчёты для команд;
• Проводить триаж уязвимостей, оценивать риски и влияние, приоритизировать исправления;
• Ставить задачи на исправление уязвимостей и контролировать сроки и качество их устранения;
• Проводить моделирование угроз, ревью архитектуры по безопасности и дизайн-решений;
• Формулировать требования к аутентификации, авторизации, шифрованию и журналированию;
• Определять и внедрять контроли безопасности на этапах требований, дизайна, разработки, тестирования и эксплуатации;
• Настраивать гейты безопасности в GitLab CI/CD;
• Сопровождать и развивать AppSec-инструменты;
• Интегрировать сканеры в конвейер разработки;
• Настраивать политики, исключения и отчётность;
• Участвовать в выборе и пилотировании новых решений;
• Участвовать в аудитах безопасности сервисов и разборах инцидентов;
• Анализировать причины инцидентов и вырабатывать меры, предотвращающие повторное возникновение уязвимостей целого класса;
• Консультировать команды разработки и архитекторов по безопасной разработке, разбору и устранению уязвимостей и шаблонам безопасного кодирования;
• Проводить тренинги, воркшопы и семинары по AppSec;
• Исследовать новые векторы атак и тренды в AppSec;
• Предлагать улучшения процессов и инструментов.

• Высшее техническое образование или сопоставимый практический опыт в разработке и безопасности приложений;
• Опыт работы инженером по безопасности приложений от 3 лет;
• Опыт участия в проектах по защите веб- или API-сервисов в продакшене;
• Практический опыт внедрения и эксплуатации инструментов SAST, SCA, DAST, фаззинга и поиска секретов;
• Опыт интеграции инструментов в CI/CD;
• Опыт работы с Docker, Kubernetes и GitLab или аналогичными системами контроля версий и CI/CD;
• Умение проводить ревью кода с фокусом на безопасность;
• Умение давать разработчикам понятные и практичные рекомендации;
• Владение одним из языков программирования: Python, Go или Bash;
• Глубокое понимание причин возникновения и способов эксплуатации уязвимостей из OWASP Top 10 и OWASP API Security;
• Понимание практического устранения уязвимостей;
• Навыки объяснения сложных технических рисков понятным языком;
• Умение договариваться о приоритетах и конструктивно отстаивать позицию безопасности;
• Готовность брать ответственность за результат — от качества найденных уязвимостей до внедрения устойчивого исправления;
• Будет плюсом опыт работы в транзакционном бизнесе или платёжных системах, глубокое понимание платёжных технологий и особенностей сегментов B2B и B2G.

• ЗП: 300 000 net.