Application Security Engineer

Что предстоит делать

Привет! Мы команда Циана — более 20 лет создаём профессиональный высокотехнологичный сервис, который помогает миллионам людей найти дом мечты. Мы знаем о недвижимости всё. Помогаем найти, сдать, продать. И верим, что новая жизнь начинается с нас. На сайте и в мобильном приложении Циан можно сдать и арендовать жильё на длительный срок или посуточно, безопасно купить и продать недвижимость онлайн, подобрать ипотечное предложение или надёжного риелтора. Миллионы пользователей решают свои задачи, связанные с недвижимостью, на Циане. О нас: • ежемесячно сайт cian.ru посещают 20+ млн уникальных пользователей • на Циане публикуется более 2,2 млн актуальных объявлений • мы в 20-ке самых дорогих компаний рунета по версии Forbes • единственный proptech из России, который входит в топ-10 лучших сервисов по недвижимости в мире Задачи, которые нужно решать: • Вести проекты по внедрению ИБ-контролей в продуктах: от защитных механизмов на фронтенде и бэкенде до сквозных инициатив по харденингу приложений. Полный процесс от постановки задачи до внедрения и измеримого результата; • Планировать и системно работать с security-техдолгом: приоритизировать, декомпозировать и доводить до внедрения совместно с продуктовыми командами; • Анализировать архитектуру приложений и внешние интеграции (API, платёжные и сторонние сервисы, вебхуки) на предмет рисков ИБ; участвовать в архитектурном комитете; • Моделировать угрозы, разрабатывать рекомендации по снижению рисков и доводить их до реализации, а не до отчёта; • Управлять ИБ-проектами и договариваться со стейкхолдерами — балансировать безопасность, сроки и бизнес-приоритеты. Наш будущий коллега: • Имеет опыт работы в области application/product security более 3 лет с фокусом на проектную деятельность и внедрение контролей; • Умеет вести проекты end-to-end и ориентирован на результат — доводит инициативы до конца и до измеримого эффекта; • Разбирается в архитектуре приложений и микросервисных систем, умеет анализировать внешние интеграции и оценивать связанные с ними риски; • Понимает уязвимости web-приложений (OWASP Top 10) и умеет переводить их в конкретные защитные меры (CSP, защита от XSS/CSRF, безопасные заголовки и т.д.); • Знаком с требованиями ФЗ-152 и практикой приведения продуктов к соответствию; • Знает сетевые протоколы, фреймворки и стандарты безопасности (OAuth2, JWT, OpenID Connect и др.); • Умеет читать код на Python, C#, Java/Kotlin, JavaScript на уровне, достаточном для ревью архитектурных и интеграционных решений; • Понимает CI/CD-процессы (Jenkins, Camunda) и знаком с инструментами AppSec (SAST/SCA) как с поддержкой процесса, а не как с основной ежедневной работой; • Понимает криптографические протоколы и базовые средства защиты инфраструктуры; работал с Kubernetes, Docker, Git; • Ключевое: умеет договариваться с бизнесом и продуктовыми командами, объясняет риски на языке бизнеса и находит решения, которые все стороны готовы принять.

Что предлагаем