Product Security Engineer

Что предстоит делать

<p>Webitel разрабатывает платформу контакт-центра: голос, чаты, боты, маршрутизация, WFM/QM. Около 90% наших инсталляций работают on-prem у клиентов, среди них банки и air-gapped среды. Каждая уязвимость в коде доходит до десятков клиентов, которые обновляются самостоятельно. </p><p>Ищем первого Product Security Engineer. Это hands-on роль: ты строишь security-процессы вместе с CTO и сам закрываешь техническую работу.</p><p><strong>Что будешь делать: </strong> </p><ul><li><strong>Vulnerability management:</strong> вести процесс от отчёта до публичного advisory: triage, CVSS-оценка, координация fix с командами, CVE, уведомление клиентов. </li><li><strong>Secure SDLC:</strong> внедрить SAST, dependency scanning и secret scanning в GitHub Actions; security review для критических изменений; threat modeling для новых фич. </li><li><strong>Тестирование продукта:</strong> регулярно искать уязвимости в нашем коде (web/API, auth, multi-tenancy, SIP/VoIP-компоненты), координировать внешний pentest. </li><li><strong>Hardening:</strong> безопасные дефолты инсталляции, hardening guide для клиентов, проверка конфигураций. </li><li><strong>Клиенты и продажи:</strong> ответы на security questionnaires и RFP банков, участие в технических встречах с их security-командами. </li><li><strong>Incident response:</strong> технический анализ инцидентов на площадках клиентов вместе с Support. </li><li><strong>Compliance:</strong> техническая часть требований CRA, DORA, ISO 27001 вместе с юристом. </li></ul><p><strong>Требования: </strong> </p><ul><li>3+ года в Application/Product Security, pentest или security-ориентированной разработке. </li><li>Находишь и объясняешь уязвимости в web/API: OWASP Top 10, authN/authZ, IDOR, injection, SSRF, проблемы multi-tenancy. </li><li>Читаешь код на Go и JavaScript/TypeScript на уровне code review. Пишешь скрипты (Python или Go) для автоматизации. </li><li>Практический опыт с SAST/SCA (Semgrep, CodeQL, Trivy, govulncheck и т.п.) в CI. </li><li>Понимаешь Linux и сети: TLS, firewall, сервисы, логи. </li><li>Умеешь оценивать уязвимости по CVSS и объяснять риск разработчикам и нетехническим людям. </li><li>Пишешь понятную техническую документацию: advisory, hardening guide, ответы на questionnaire. </li><li>Английский на уровне, достаточном для письменного общения с клиентами и исследователями. </li></ul><p><strong>Будет плюсом: </strong> </p><ul><li>VoIP/SIP security: FreeSWITCH, OpenSIPS, toll fraud, SIP TLS/SRTP. Редкий навык, поэтому необязательный. </li><li>Чтение <nobr>C-кода,</nobr> понимание memory safety (у нас есть <nobr>C-расширения</nobr> для PostgreSQL). </li><li>Опыт с продуктом, который поставляется on-prem: работа с версиями, backport, air-gapped поставка. </li><li>Взаимодействие с банками или регулируемыми клиентами: DORA, PCI DSS, ISO 27001, security questionnaires. </li><li>Опыт coordinated disclosure, получения CVE, публичные advisory. </li><li>OSCP, OSWE, Burp Suite Certified Practitioner или аналог. Подтверждённый результат (CVE, bug bounty) весит больше, чем сертификат. </li></ul><p><strong>Что предлагаем: </strong> </p><ul><li>Первая security-роль в компании: ты определяешь процессы и инструменты, а не подстраиваешься под чужие. </li><li>Прямой доступ к CTO и всем командам, влияние на архитектурные решения. </li><li>Реальный продукт в банках и телеком-операторах: твоя работа имеет измеримый эффект. </li><li>Бюджет на инструменты, обучение и сертификацию. </li><li>Оплачиваемые больничные.</li><li>24 календарных дня отпуска.</li></ul> <div> <a href="https://jobs.dou.ua/companies/webitel/vacancies/375836/#reply-btn-id">Откликнуться на вакансию</a> </div>