Senior DevSecOps Engineer

Что предстоит делать

<p>UPSTARS — продуктовая IT-компания, с которой взлетают и люди, и бренды. Наш основной фокус — технологические решения и B2B-услуги для международных клиентов. Запускаем звездные проекты в сфере iGaming, которые получают признание и наивысшие оценки профильных рейтингов ✨</p><p>И да, поддерживать легальный и прозрачный рынок Украины — это must have, поэтому третьими в стране получили B2B-лицензию на предоставление услуг в сфере азартных игр.</p><p>В 2026 мы активно масштабируем и проекты, и дрим тим. Поэтому для усиления Security команды ищем <strong>Senior DevSecOps Engineer.<br><br></strong></p><p>✅ <strong>Твои будущие задачи:</strong></p><ul><li>построить базовую операционную модель Application &amp; Infrastructure Security: определить ownership, SLA, процессы триажа, исключений, принятия рисков, эскалаций и отчетности;</li><li>внедрить процесс vulnerability management: обнаружение уязвимостей, приоритизация, определение ответственных, контроль сроков исправления, управление исключениями, remediation и метриками;</li><li>интегрировать security controls в SDLC и CI / CD: SAST, SCA, SBOM, secret scanning, container / image scanning, проверки Dockerfile и поэтапные quality gates в пайплайнах;</li><li>построить базовый уровень supply chain security: контроль зависимостей, lock-файлы, подписание артефактов, защита CI / CD, protected branches и другие механизмы безопасности;</li><li>внедрить cloud и infrastructure security baseline через IaC: IAM Policies, KMS, CloudTrail, GuardDuty, Security Hub, IaC scanning и другие инструменты контроля безопасности;</li><li>внедрить Kubernetes security controls: Pod Security Standards и / или Kyverno, Network Policies, RBAC review, admission control для контейнерных образов, audit logs и подходы к runtime security;</li><li>сотрудничать с engineering и platform-командами по устранению находок, уменьшению количества false positives, улучшению secure coding practices, подготовке политик, инструкций и audit evidence для PCI DSS и других аудитов.<br><br><br></li></ul><p>💪 <strong>Твои скилы:</strong></p><ul><li>5+ лет практического опыта в DevSecOps / Application Security;</li><li>практический production-опыт интеграции security tools в CI / CD, в частности GitLab CI и / или GitHub Actions;</li><li>опыт работы с SAST, SCA, secret scanning, container / image scanning и security quality gates, использование инструментов уровня Semgrep, SonarQube, Trivy, Snyk, Grype, Gitleaks или аналогов;</li><li>понимание безопасности CI / CD: protected branches, protected environments, secrets management, CODEOWNERS, принципов минимизации прав для runners и service accounts;</li><li>опыт построения процессов vulnerability management: триаж, приоритизация, SLA, исключения, принятие риска, определение ответственных, отчетность и снижение количества false positives;</li><li>понимание supply chain security: SBOM, dependency pinning, lock-файлы, artifact signing, provenance, риски зависимостей и состава программного обеспечения;</li><li>production-опыт в cloud security (преимущественно AWS): IAM Policies, Security Groups, KMS, CloudTrail, GuardDuty, Security Hub, Config Rules, VPC Design;</li><li>опыт работы с Kubernetes Security: Pod Security Standards, Network Policies, RBAC, admission control, image policy, audit logs;</li><li>опыт работы с IaC Security (преимущественно Terraform): tfsec, Checkov, policy-as-code или аналогичные решения;</li><li>уверенное написание автоматизации на Python, Bash или Go: собственные этапы пайплайнов, автоматизация триажа, API-интеграции, отчетность;</li><li>понимание OWASP Top 10, типичных web-уязвимостей, принципов безопасной разработки и практических подходов к их устранению;</li><li>способность работать самостоятельно, приоритизировать задачи, достигать результатов с минимальным контролем и эффективно взаимодействовать с engineering, platform и business-командами.<br><br><br></li></ul><p>🤞 <strong>Желательно, но не критично:</strong></p><ul><li>опыт работы в gambling, fintech или других регулируемых индустриях;</li><li>практический опыт работы с PCI DSS, в частности Requirement 6 и Requirement 11;</li><li>опыт работы с runtime security-решениями, такими как Falco, Tetragon или аналогами;</li><li>опыт подписания контейнерных образов с помощью Cosign / Sigstore или аналогичных инструментов;</li><li>опыт работы с DAST-решениями (OWASP ZAP, Nuclei и т.д.) и их интеграцией в staging-среды;</li><li>опыт проведения threat modeling с использованием STRIDE или аналогичных методологий для продуктов, API и инфраструктурных изменений;</li><li>опыт построения Security Champions программ или разработки гайдлайнов и практик безопасной разработки;</li><li>знакомство с CSPM-платформами (Wiz, Orca, AWS-native решения или собственная автоматизация);</li><li>опыт работы с Dependency-Track или аналогичными решениями для управления SBOM и уязвимостями зависимостей.<br><br><br></li></ul><p>🌟 <strong>Наши ценности и преимущества:</strong></p><ul><li>командность — вместе не только работаем, но еще и отдыхаем, движуем и делаем добрые дела;</li><li>позитив — с легкостью идем по жизни и получаем драйв от круто сделанной работы, интересных задач и фидбека тимейтов;</li><li>возможности — предлагаем четкий карьерный план с Performance Review, тренинги, менторинг-программы и другие инструменты для реализации как в карьере, так и в жизни;</li><li>смелость — беремся за задачи со звездочкой, не боимся вызовов и амбициозных планов;</li><li>открытость — говорим прямо и просто даже о сложном, слышим идеи и фидбеки и ценим проактивность;</li><li>имеем собственные мощности для создания технологических решений с нуля;</li><li>автоматизируем рутину, чтобы использовать время для развития и профессионального роста внутри компании;</li><li>не любим бюрократию и устаревшие подходы — мы за свободу действий.<br><br><br></li></ul><p>🍪<strong> Маст-хэв:</strong></p><ul><li>работай там, где комфортно и безопасно — в офисах или удаленно;</li><li>официальное оформление в Украине или Польше — поддержим в решении бюрократических вопросов и поможем с документами;</li><li>20 рабочих дней оплачиваемого отпуска, государственные выходные и больничные — мы за ворк-лайф баланс;</li><li>медицинское страхование в топовых клиниках и покрытие расходов на психолога на платформе Pleso;</li><li>Benefit cafe — ежемесячно трать средства на предпочтения, хобби, спорт и т.д.;</li><li>ивенты — участвуй в мастер-классах, посещай тимбилдинги и корпоративы;</li><li>обучение под любой запрос — индивидуальный бюджет на курсы, корпоративный английский, воркшопы и онлайн-библиотека.<br><br><br></li></ul><p><strong>И еще о важном:</strong></p><p>❗️Не имеем клиентов, которые бы использовали наши разработки и услуги на украинском рынке.</p><p>❗️Не работаем с клиентами рынка страны-агрессора или любого другого русскоязычного рынка.<br><br></p><p>Чувствуешь мэтч по ценностям и желание профессионально расти? Давай знакомиться! 😉</p><p><strong>P.S.</strong> Если после отклика не видишь нашего письма — загляни в «Спам» или другие разделы. Иногда наши ответы теряются там 👀</p> <div> <a href="https://jobs.dou.ua/companies/upstars/vacancies/363991/#reply-btn-id">Откликнуться на вакансию</a> </div>