Security Architect / Application Security Engineer

Что предстоит делать

Привет! Мы команда Циана — более 20 лет создаём профессиональный высокотехнологичный сервис, который помогает миллионам людей найти дом мечты. Мы знаем о недвижимости всё. Помогаем найти, сдать, продать. И верим, что новая жизнь начинается с нас. На сайте и в мобильном приложении Циан можно сдать и арендовать жильё на длительный срок или посуточно, безопасно купить и продать недвижимость онлайн, подобрать ипотечное предложение или надёжного риелтора. Миллионы пользователей решают свои задачи, связанные с недвижимостью, на Циане. О нас: • ежемесячно сайт cian.ru посещают 20+ млн уникальных пользователей • на Циане публикуется более 2,2 млн актуальных объявлений • мы в 20-ке самых дорогих компаний рунета по версии Forbes • единственный proptech из России, который входит в топ-10 лучших сервисов по недвижимости в мире Задачи, которые нужно решать: • Проектировать и ревьюить архитектурные решения продуктов в составе архитектурного комитета — сопровождать инициативы от идеи до реализации, анализируя риски ИБ на каждом этапе; • Разрабатывать требования Безопасности для проектов и систем в соответствии с различными compliance-требованиями; • Проектировать security baseline для AI-first платформы: secrets, RBAC/ABAC, audit, PII, data residency, tenant isolation; • Проводить threat modeling для ключевых компонентов платформы (Platform, MCP-gateway, agent routes, RAG-интеграции, tool execution) и превращать риски в конкретные инженерные меры; • Участвовать в разработке и внедрении guardrails / guard-сервисов для MCP, RAG, agent workflows и tool calls; • Разрабатывать методологию ролевой модели (роли, permissions, ownership, visibility, escalation, exceptions) и внедрять RBAC/ABAC-модели для платформенных сервисов и AI-capabilities; • Анализировать внешние интеграции и микросервисную архитектуру на предмет рисков ИБ, разрабатывать рекомендации и доводить их до работающих контролей. Наш будущий коллега: • Имеет опыт работы в области application/product security или security architecture более 3 лет; • Имеет опыт проектирования архитектуры микросервисных систем и анализа архитектурных решений на предмет рисков ИБ; • Умеет не только описать требование, но и довести его до работающего технического контроля; • Обладает практическим опытом с CI/CD security gates, policy-as-code или автоматизированными security checks; • Умеет проводить threat modeling и превращать риски в конкретные инженерные меры; • Понимает устройство API, backend-сервисов, интеграций, логов, окружений и production delivery process; • Обладает глубокой экспертизой в уязвимостях web-приложений (OWASP Top 10); • Знает сетевые протоколы, фреймворки и стандарты безопасности (OAuth2, JWT, OpenID Connect и др.); • Читает код на Python, C#, Java/Kotlin, JavaScript на уровне, достаточном для архитектурного ревью; • Понимает криптографические протоколы и базовые средства защиты инфраструктуры; работал с Kubernetes, Docker, Git; • Умеет работать с разработчиками: объясняет security-требования технически, без бюрократии и подхода «запретить всё». Будет плюсом: • Опыт с AI/LLM security: prompt injection, tool abuse, data leakage, jailbreak risks; • Опыт с MCP, RAG, agent-based workflows или AI platform infrastructure; • Опыт разработки внутренних security-сервисов, guardrails, policy engines, approval/exception workflows.

Что предлагаем