DevSecOps

Что предстоит делать

<p>Привет! <br>Мы, Boosta — холдинговая IT-компания, которая создает, развивает и инвестирует в digital-бизнесы с глобальным потенциалом. Сегодня с нами сотрудничают более 700 специалистов из разных уголков мира, а нашими продуктами и сервисами пользуются миллионы пользователей. </p><p>Мы в поиске <strong>DevSecOps</strong> в сервисную команду Boosta проекта, который предоставляет услуги по дизайну, разработке, контенту, а также созданию и поддержке IT-инфраструктуры проектов холдинга. </p><p><strong>Ключевые факты о Webtech:</strong></p><ul><li><strong>50+ сильных профессионалов</strong> — большинство наших специалистов работают в Webtech долго, поэтому обладают большим багажом знаний и опыта во всех сервисах.</li><li><strong>300+ проектов в год</strong> — в дизайне, разработке, DevOps и поддержке продуктов.</li><li><strong>Разнообразный портфель проектов</strong> — он наполняется от потребностей бизнесов, работающих в разных нишах, таких как Edtech, Fintech, Health & Fitness, Social Discovery и другие.<br><br></li></ul><p><strong>В роли DevSecOps ты будешь:</strong></p><p><strong>Управление уязвимостями — полный цикл (ключевое)</strong></p><ul><li>Детект уязвимостей на всех уровнях: код, зависимости, образы, IaC, конфиги, сеть.</li><li>Приоритизация по реальному риску (эксплуатируемость + экспозиция), а не только по CVSS.</li><li>Ремедиация своими руками: апгрейд зависимостей, патчи, харденинг конфигов, изменения в коде продукта через PR вместе с разработкой.</li><li>Верификация закрытия (re-scan / re-test), отслеживание SLA и non-regression.</li></ul><p><strong>Внедрение Security в CI/CD</strong></p><ul><li>Развертывание и интеграция SAST, DAST, SCA, secret scanning в пайплайны.</li><li>Security gates: блокировка деплоя при критических находках, управляемые исключения с владельцем риска.</li></ul><p><strong>Безопасность сети и сетевая архитектура</strong></p><ul><li>Сегментация, firewall-политики, zero-trust доступ, VPN, egress-фильтрация, защита IMDS.</li><li>Работа с edge/WAF (Cloudflare): тюнинг правил, anti-bot, rate limiting под платежные и игровые API.</li><li>Ревью сетевых схем и периметра, выявление опасных экспозиций.</li></ul><p><strong>Безопасность облака и инфраструктуры</strong></p><ul><li>Оценка и харденинг облачной и bare-metal инфраструктуры.</li><li>IaC-сканирование (Terraform / Helm / Kubernetes) на опасные конфиги.</li><li>Управление секретами и их ротация (Vault / cloud secrets), устранение захардкоженных ключей.</li><li>IAM / SSO харденинг (OIDC/SAML, Keycloak).</li></ul><p><strong>SIEM и детект-инжиниринг</strong></p><ul><li>Построение и сопровождение пайплайнов логов и аудита, detection-as-code, корреляционные правила (ELK-подобные решения).</li><li>Тесная работа с SOC: отдавать детекты под новые находки, а не дублировать их работу.</li></ul><p><strong>Контейнеры и оркестрация</strong></p><ul><li>Сканирование образов (Trivy / Grype), RBAC и least privilege, network policies, runtime-детект (Falco), харденинг базовых образов.</li></ul><p><strong>Secure SDLC и культура</strong></p><ul><li>Threat modeling на этапе планирования, security design reviews.</li><li>Менторство разработчиков по безопасному кодингу (OWASP Top 10 / ASVS).</li></ul><p><b> </b></p><p><strong>Для нас важно, чтобы ты:</strong></p><ul><li>Имел(-а) глубокое понимание сетевой безопасности и архитектуры: сегментация, firewall, VPN, mTLS, TLS, DNS, zero-trust, разбор трафика.</li><li>Имел(-а) практический опыт с SIEM: сбор логов, написание детект-правил, расследование (Wazuh / ELK / другое).</li><li>Имел(-а) опыт с безопасностью облака и инфраструктуры: харденинг, IAM, IaC-сканирование, управление секретами. Уверенно владел(-а) одной из платформ (GCP / AWS / Azure) и комфортно работал(-а) с bare-metal.</li><li>Имел(-а) практический опыт управления уязвимостями и их ремедиации: патчи, апгрейды, правки конфигов и кода.</li><li>Имел(-а) опыт внедрения SAST/DAST/SCA/secret scanning с нуля и интеграции этих инструментов в CI/CD (SonarQube, Semgrep, Snyk, Trivy, OWASP ZAP, gitleaks/detect-secrets или аналоги).</li><li>Уверенно владел(-а) Python и Bash (Go будет преимуществом) для автоматизации и написания фиксов.</li><li>Работал(-а) с GitLab CI, GitHub Actions, Jenkins или TeamCity.</li><li>Имел(-а) рабочие знания Docker и Kubernetes.</li></ul><p><b> </b></p><p><strong>Этапы, которые ждут тебя:</strong></p><ul><li>Шаг 1. Pre-screen.</li><li>Шаг 2. Техническое интервью.</li><li>Шаг 3. Интервью.</li><li>Шаг 4. Сбор рекомендаций.</li><li>Шаг 5. Job Offer!</li></ul><p><b> </b></p><p><strong>Что получишь от сотрудничества с нами:</strong></p><ul><li>Поддержку твоего карьерного роста: компенсация внешних курсов, конференций, корпоративная библиотека.</li><li>Гибкий рабочий график (ты можешь начинать свой рабочий день с 8:00 до 11:00 по киевскому времени).</li><li>Офис в Киеве, коворкинг во Львове или Варшаве или возможность работать удаленно — выбор за тобой.</li><li>28 рабочих дней отпуска в год, до 30 дней sick leave с медицинским подтверждением, а также сохранение всех государственных праздников.</li><li>Заботу о твоем здоровье: медицинское страхование и компенсация сессий с психологом.</li><li>Программу Ukrainian Victory Support и другие важные социальные инициативы.</li><li>Регулярные тимбилдинги (онлайн или офлайн).</li></ul><p><b> </b></p><p>Драйвит возможность работать с экспертной командой и разными клиентами? Отправляй свое CV и let's do great things together!</p> <div> <a href="https://jobs.dou.ua/companies/boosta/vacancies/367335/#reply-btn-id">Откликнуться на вакансию</a> </div>