DevSecOps и Application Security Lead

Что предстоит делать

<p>Мы ищем <strong>DevSecOps и Application Security Lead</strong>, который присоединится к нашей команде и построит безопасность приложений с нуля. В этой роли вы будете задавать направление безопасности в нашем отделе, фокусируясь на интеграции безопасности в процесс разработки программного обеспечения. Балансируя автоматизацию с практическими практиками DevSecOps, вы поможете нашим инженерным командам находить и устранять уязвимости на ранних этапах, обеспечивая безопасность и надежность наших продуктов без замедления разработки.</p><p><strong>Обязанности</strong></p><ul><li>Создать функцию DevSecOps/AppSec с нуля, а также разработать дорожную карту, KPI и метрики для руководства</li><li>Создать безопасные процессы разработки, включая шлюзы безопасности релизов и управление уязвимостями</li><li>Выбирать, настраивать и интегрировать сканеры безопасности (SAST, SCA, secrets) с фокусом на автоматизацию и AI-ассистированные рабочие процессы</li><li>Интегрировать проверки безопасности в пайплайны и процессы разработки совместно с командами Engineering, DevOps и Product</li><li>Проводить threat modeling и ревью безопасности для высокорисковых систем и крупных архитектурных изменений</li><li>Создавать четкие стандарты безопасности, чек-листы и практические руководства для разработчиков (охватывающие код, API и secrets)</li><li>Запустить и развивать программу Security Champions для вовлечения инженеров в процессы безопасности</li><li>Помогать в расследовании инцидентов, связанных с уязвимостями приложений, утечками секретов и атаками на цепочку поставок</li></ul><p><strong>Требования</strong></p><ul><li>5+ лет опыта в DevOps, SRE, Platform Engineering или смежных инфраструктурных/безопасных ролях</li><li>3+ года, сфокусированных на DevSecOps и Application Security</li><li>1+ год на руководящей/ответственной роли</li><li>Глубокое понимание современной разработки ПО, Git-воркфлоу и практический опыт интеграции проверок безопасности в CI/CD пайплайны без создания узких мест</li><li>Практический опыт с SAST, SCA, сканированием секретов и управлением уязвимостями (триаж, оценка рисков, исправление и валидация)</li><li>Способность выбирать и масштабировать инструменты безопасности на основе точности, уровня ложных срабатываний и опыта разработчиков</li><li>Хорошее знание рисков веб/API/мобильных приложений (OWASP Top 10, аутентификация, риски цепочки поставок) и способность проводить threat modeling и ревью безопасного дизайна</li><li>Хорошие навыки скриптинга (Python, Bash или аналогичные) и понимание cloud-native/контейнеризированных сред</li><li>Способность писать четкие требования и руководства по безопасности для разработчиков</li><li>Английский — Intermediate+ или выше</li></ul><p><strong>Будет плюсом</strong></p><ul><li>Опыт построения функций AppSec/DevSecOps с нуля или на ранних стадиях зрелости</li><li>Практический опыт работы с инструментами, такими как Snyk, Aikido, Semgrep, Trivy, Gitleaks, GitHub/GitLab Security или SonarQube</li><li>Опыт с безопасностью облачных/IaC сред, Kubernetes и безопасностью мобильных приложений</li><li>Знание стандартов соответствия (SOC 2, ISO 27001, PCI DSS, DORA) и опыт координации Bug Bounty или пентестов</li><li>Опыт с программами Security Champions и AI-ассистированными инструментами безопасности</li></ul><p><strong>Мы предлагаем</strong></p><ul><li>20 оплачиваемых отпускных дней в год</li><li>10 оплачиваемых дней больничного в год</li><li>Государственные праздники в соответствии с утвержденным компанией списком государственных праздников</li><li>Медицинский бюджет</li><li>Возможность удаленной работы</li><li>Бюджет на профессиональное образование</li><li>Бюджет на изучение языков</li><li>Велнес-бюджет (абонемент в спортзал, спортивный инвентарь и связанные расходы)</li></ul> <div> <a href="https://jobs.dou.ua/companies/justmarkets/vacancies/360436/#reply-btn-id">Откликнуться на вакансию</a> </div>