Старший DevSecOps инженер

Что предстоит делать

<p>Мы ищем <strong>Senior DevSecOps Engineer</strong> для присоединения к нашей команде Product Security, чтобы помочь укрепить безопасность на протяжении всего жизненного цикла разработки программного обеспечения.<br><br>В этой роли вы будете проектировать, внедрять и поддерживать интеграции безопасности в CI/CD пайплайнах, автоматизировать рабочие процессы безопасности и повышать надёжность и эффективность средств контроля безопасности. Вы будете тесно сотрудничать с командами Application Security, Cloud Security, DevOps, Platform и Engineering, чтобы обеспечить бесшовную интеграцию проверок безопасности в процессы разработки, эффективное выявление и устранение уязвимостей, а также предоставление разработчикам чёткой и полезной обратной связи. <br><br>Это практическая техническая роль, предлагающая возможность влиять на то, как инструменты безопасности и автоматизация реализуются в нашей инженерной среде.<br><br><strong>Обязанности</strong></p><ul><li>Интегрировать и поддерживать SAST, SCA и сканирование секретов в CI/CD пайплайнах и рабочих процессах разработчиков</li><li>Создавать переиспользуемые интеграции пайплайнов и правила безопасности, управляемые как код, включая согласованные проверки конфигурации облака с Cloud Security и DevOps. Тестировать изменения, планировать безопасное развёртывание с владельцами пайплайнов и проверять, что необходимые проверки выполняются в согласованном объёме</li><li>Настраивать правила и конфигурации сканеров для снижения количества ложных срабатываний и предоставления разработчикам полезной обратной связи. Валидировать изменения с AppSec, фиксировать исключения и избегать сокрытия реальных рисков, чтобы поддерживать пайплайны в рабочем состоянии</li><li>Устранять неполадки неудачных сканирований, сломанных интеграций и сбоев пайплайнов, связанных с безопасностью. Своевременно восстанавливать средства контроля или эскалировать блокеры, объясняя влияние и необходимые действия</li><li>Автоматизировать сбор находок, обработку дубликатов, создание тикетов и обновление статусов. Обеспечивать, чтобы валидированные находки High уровня в пайплайнах и секретах имели владельца, действие и срок; отслеживать и эскалировать нерешённые вопросы владения или блокеры</li><li>Работать с AppSec и разработчиками для валидации находок, улучшения рекомендаций по устранению и проверки исправлений при необходимости. Превращать повторяющиеся проблемы в переиспользуемые проверки и улучшения рабочих процессов</li><li>Применять изменения конфигурации сканеров в рамках утверждённого базового уровня. Рекомендовать новые гейты, изменения инструментов и улучшения обработки исключений для утверждения; эскалировать проблемы, ломающие пайплайн, или критические находки без владельца менеджеру (DevSecOps &amp; Application Security)</li><li>Поддерживать чёткие записи о покрытии, руководства по устранению неполадок и операционные runbook'и. Использовать данные пайплайнов и инструментов для демонстрации отсутствующих проверок, сбоев средств контроля и нерешённых находок, а также делиться знаниями, чтобы другие могли поддерживать интеграции</li></ul><p><strong>Требования</strong></p><ul><li>Не менее 3+ лет практического опыта на инженерных ролях DevSecOps</li><li>Глубокое понимание Git-воркфлоу и CI/CD пайплайнов с умением проектировать переиспользуемые интеграции, расследовать неудачные джобы и оценивать влияние изменений на доставку программного обеспечения</li><li>Практический опыт настройки static application security testing (SAST), software composition analysis (SCA) и сканирования секретов, настройки правил, расследования ложных срабатываний и маршрутизации результатов к нужным командам</li><li>Умение писать, тестировать и поддерживать автоматизацию на подходящем языке, таком как Python, Bash или Go, и интегрировать системы через API. Конкретный язык менее важен, чем надёжные, поддерживаемые интеграции</li><li>Опыт реализации проверок безопасности или политик как кода, с контролем версий, тестированием и контролируемыми изменениями</li><li>Практический опыт защиты и укрепления облачных сред как минимум с одним крупным облачным провайдером (предпочтительно AWS), включая автоматизированные проверки соответствия согласованным требованиям безопасности</li><li>Рабочее знание Linux и контейнерных сред сборки, включая разрешения, учётные данные и логи, необходимые для устранения неполадок инструментов безопасности</li><li>Понимание распространённых рисков приложений, зависимостей и раскрытых секретов; умение отличать сбой инструмента от находки безопасности и определять, когда требуется экспертная проверка</li><li>Умение вести чёткие записи о покрытии, операционные runbook'и и отчётность с использованием данных пайплайнов, сканеров и рабочих элементов</li><li>Сильные навыки решения проблем, коммуникации и сотрудничества с умением брать на себя ответственность за технические задачи и координировать работу с кросс-функциональными командами</li><li>Английский (B1), русский (свободно)</li></ul><p><strong>Будет плюсом</strong></p><ul><li>Прямой опыт с интеграциями безопасности GitLab CI/CD</li><li>Опыт с проверками безопасности Terraform или Kubernetes</li><li>Безопасность цепочки поставок программного обеспечения, включая software bills of materials (SBOM), подпись артефактов или происхождение сборки</li><li>Опыт интеграции dynamic application security testing (DAST) или использования инструментов с поддержкой AI для улучшения автоматизации безопасности с надлежащей проверкой</li><li>Опыт в fintech, трейдинге, платежах или других продуктах с повышенными требованиями к безопасности</li></ul><p><strong>Мы предлагаем</strong></p><ul><li>20 оплачиваемых дней отпуска в год</li><li>10 оплачиваемых дней больничного в год</li><li>Государственные праздники согласно утверждённому списку государственных праздников компании</li><li>Медицинский бюджет</li><li>Возможность работать удалённо</li><li>Бюджет на профессиональное образование</li><li>Бюджет на изучение языков</li><li>Бюджет на wellness (членство в спортзале, спортивный инвентарь и сопутствующие расходы)</li></ul> <div> <a href="https://jobs.dou.ua/companies/justmarkets/vacancies/378049/#reply-btn-id">Откликнуться на вакансию</a> </div>