Cloud Security Engineer

Что предстоит делать

<p><strong>Мы ищем практикующего Cloud Security Engineer, который возьмёт на себя ответственность за безопасность нашей платформы AWS и пайплайнов доставки в нескольких клиентских проектах. Это наш первый выделенный специалист по безопасности — вы выстроите практики безопасности компании с нуля и установите стандарты, которым будут следовать наши инженерные команды. AWS — наше основное облако; опыт с Azure или GCP будет плюсом. SecOps — ключевая часть роли: вы будете выстраивать и запускать мониторинг, детектирование и реагирование на инциденты, внедрять guardrails и проводить тестирование безопасности до и после каждого деплоя.</strong> <br><br><strong>Формат работы: </strong>полная занятость, штатный сотрудник. Возможность работать удалённо или в офисе во Львове.<br><br><strong>Требования:</strong> <br><strong>▪️ 5+ лет в DevOps, SRE или cloud engineering, включая 2+ года с фокусом на безопасности.</strong> <br>▪️ Практический опыт обеспечения безопасности AWS в мультиаккаунтном проде: IAM, Organizations (SCPs/RCPs), GuardDuty, Security Hub, Inspector, Macie, Config, CloudTrail, WAF, KMS, Secrets Manager.<br>▪️ Сильные навыки Terraform, включая работу с существующим IaC и его изменение.<br>▪️ Опыт интеграции безопасности в CI/CD: сканирование секретов, SAST (SonarQube), SCA и сканирование контейнеров.<br>▪️ Опыт запуска DAST с OWASP ZAP или аналогичными инструментами.<br>▪️ Опыт работы с контейнерами в проде: Docker, ECS/Kubernetes, ECR и харденинг образов.<br>▪️ Твёрдые знания безопасности веб-приложений: OWASP Top 10, уязвимости аутентификации, security headers, TLS.<br>▪️ Опыт сопоставления требований SOC 2/HIPAA с облачными контролями: доступ, логирование, шифрование, доказательства.<br>▪️ Практический опыт реагирования на инциденты с использованием данных CloudTrail или SIEM.<br>▪️ Владение Python и Bash; PowerShell будет плюсом.<br>▪️ Ежедневное использование AI-ассистентов (Claude, ChatGPT, Copilot) со здравым суждением о приватности и проверке результатов.<br>▪️ Понимание рисков AI/LLM: prompt injection, утечка данных, OWASP LLM Top 10.<br>▪️ Способность работать самостоятельно и выстраивать практики безопасности с нуля.<br>▪️ Upper-Intermediate английского или выше.<br><strong><br>Вам не нужно соответствовать каждому пункту — сильная безопасность AWS и способность быстро закрывать пробелы важнее всего.</strong> <br><br><strong>Будет плюсом:</strong> <br>▪️ Azure или GCP; Cloudflare (WAF, CDN, Zero Trust).<br>▪️ Инструменты безопасности: Burp Suite Pro, Nuclei, Trivy, Semgrep, Gitleaks/TruffleHog, Prowler.<br>▪️ Пентестирование: внутренние/внешние веб-приложения и API.<br>▪️ Харденинг Windows Server &amp; IIS: бенчмарки CIS, TLS, патчинг.<br>▪️ Безопасность AI и контроль затрат: Amazon Bedrock, доступ к моделям, логирование.<br>▪️ Автоматизация безопасности AI (Claude Code, MCP): триаж, настройка детектирования, тикетирование/отчётность.<br>▪️ SIEM (ELK или эквивалент): правила детектирования и дашборды.<br>▪️ SBOM, подпись образов, dependency cooldowns, вредоносные пакеты.<br>▪️ Проведение аудитов (SOC 2 Type II, HIPAA, ISO 27001): controls as code, сбор доказательств.<br>▪️ AWS Certified Security — Specialty, OSCP, CKS или аналогичные.</p><p><strong>Обязанности:</strong> <br><strong>Архитектура безопасности и планирование</strong> <br>— Владеть, определять объём и приоритизировать roadmap безопасности в облаке, DevOps и разработке приложений.<br>— Проверять и улучшать архитектуры безопасности AWS, CI/CD и приложений (.NET/Angular).<br>— Задавать требования безопасности на раннем этапе и участвовать в архитектурных решениях для новых фич и проектов.<br>— Отслеживать и сокращать технический долг в области безопасности совместно с тимлидами.<br>— Ежемесячно отчитываться о рисках, устранении и трендах posture перед стейкхолдерами и клиентами.<br><br><strong>SecOps (run-time)</strong> <br>— Выстраивать маршрутизируемые детекты/алерты из CloudTrail, GuardDuty и логов (ELK, EventBridge, CloudWatch) с чёткими уровнями критичности.<br>— Вести триаж и реагирование на инциденты; создавать и тестировать runbook'и (утечка ключей, скомпрометированные хосты, неконтролируемые облачные расходы).<br>— Управлять уязвимостями: приоритизировать (CISA KEV, EPSS, экспозиция), устанавливать SLA на исправление и отслеживать в Jira.<br>— Харденить и патчить Windows Server/IIS и Linux-нагрузки совместно с DevOps.<br>— Участвовать в on-call по критическим алертам безопасности по согласованным с командой графикам.</p><p><strong>Безопасность облака (AWS)</strong> <br>— Проектировать guardrails AWS Organization: SCPs, RCPs, ограничения по регионам, IAM permission boundaries.<br>— Обеспечивать least privilege: никаких долгоживущих ключей, IAM-роли (OIDC, task/instance), MFA.<br>— Запускать GuardDuty, Security Hub, Inspector, Macie, Config, Access Analyzer, CloudTrail глобально.<br>— Харденить edge/сеть: CloudFront, WAF, security groups, приватные origins, VPC endpoints.<br>— Управлять Secrets Manager, KMS и неизменяемыми кросс-аккаунтными бэкапами.<br>— Настраивать контроль бюджетов (Budgets, Cost Anomaly Detection, авто-лимиты) для предотвращения скачков затрат.<br>— Защищать Bedrock и сторонние AI API (ключи, логирование, алерты об аномалиях, лимиты затрат); не допускать попадания PHI/секретов в промпты и логи; смягчать prompt injection и утечки данных.</p><p><strong>DevSecOps (pre-deployment)</strong> <br>— Создавать переиспользуемые стадии безопасности CI/CD для GitLab CI и TeamCity, покрывающие секреты, SAST (SonarQube), зависимости (NuGet/npm), контейнеры и IaC.<br>— Харденить платформы CI/CD: защищённые runners, учётные данные, защищённые ветки и цепочки поставок.<br>— Проверять изменения Terraform, IAM и архитектуры, проводить threat modeling для новых фич.</p><p><strong>Тестирование безопасности и пентестирование</strong> <br>— Запускать DAST-сканы OWASP ZAP (baseline, full, authenticated, OpenAPI) на задеплоенных окружениях; автоматизировать их в пайплайнах для staging/sandbox и проводить триаж находок с разработчиками.<br>— Проводить внутренние пентесты по поверхностям атаки приложений, API и облака.<br>— Управлять сторонними пентестами и отслеживать устранение до закрытия.<br>— Проверять исправления после релиза, security headers, правила WAF и настройки TLS.</p><p><strong>Что мы предлагаем:</strong> <br>Конкурентная зарплата по результатам собеседования.<br>Ежегодные performance review с чёткими целями роста.<br>Реальное влияние на безопасность всей компании.<br>Практическая работа с облачной инфраструктурой AWS.<br>Команда опытных инженеров для совместной работы над безопасностью, DevOps и архитектурой.<br>Профессиональный рост: сертификации по безопасности, конференции, курсы.<br>Прямая коммуникация с англоязычными клиентами и оплачиваемые уроки английского.<br>Программа рефералов для сотрудников.<br>Программа льгот с возможностью компенсации следующих расходов по выбору сотрудника:<br>▪ Спортивные занятия (разовые сессии или месячные/годовые абонементы)<br>▪ Оплата медицинских расходов (лечение и профилактические процедуры у стоматолога, услуги и консультации врачей, медосмотры и анализы)<br>▪ Консультации психолога<br>▪ Медицинская страховка<br>▪ Обучение для развития профессиональных навыков (hard и soft skills), включая покупку необходимой учебной литературы<br>▪ Курсы по традиционным искусствам и творчеству (например, рисование, музыка, фотография).<br>▪ Индивидуальные занятия по улучшению английского языка<br>21 рабочий день — оплачиваемые отпуска.<br>10 оплачиваемых больничных дней<br>Членство в IT club.<br>Офисы, оборудованные генераторами и Starlink.<br><br><strong>Если вы хотите узнать больше деталей, пожалуйста, свяжитесь со мной или отправьте резюме через сайт.</strong> <br><br><strong>Следующий шаг — короткое интервью со мной, <nobr>15-30 минут.</nobr></strong> <br><strong>Затем — интервью с вашим будущим менеджером — 60 минут.</strong> <br><strong>В случае успеха — оффер!</strong> <br><br>Я организую все этапы ASAP</p> <div> <a href="https://jobs.dou.ua/companies/dev-com/vacancies/379685/#reply-btn-id">Откликнуться на вакансию</a> </div>