Старший эксперт ИБ

Что предстоит делать

Обязанности: Развитие процессов безопасной разработки (Secure SDLC / DevSecOps) • Развивать и совершенствовать процессы безопасной разработки (Secure SDLC, DevSecOps). • Интегрировать инструменты безопасности в конвейеры CI/CD. • Разрабатывать и сопровождать политики безопасности для CI/CD. • Формировать и актуализировать требования безопасности для процессов разработки, тестирования и внедрения ПО. Анализ защищенности приложений • Администрировать и сопровождать инструменты анализа безопасности приложений (SAST, DAST, SCA, Secrets Scanning, Container Security). • Выполнять статический, динамический анализ и анализ состава программного обеспечения. • Проводить оценку защищенности веб-приложений, API и других программных решений. • Анализировать результаты автоматизированных проверок, подтверждать уязвимости и исключать ложноположительные срабатывания. Управление уязвимостями • Подготавливать рекомендации по устранению выявленных уязвимостей. • Контролировать выполнение мероприятий по их устранению. • Сопровождать процессы управления уязвимостями приложений и повышать их эффективность. Архитектурная и экспертная поддержка • Участвовать в моделировании угроз и анализе архитектуры разрабатываемых решений. • Проводить экспертизу архитектуры приложений на соответствие требованиям информационной безопасности. • Участвовать в приемке новых информационных систем и программных решений с точки зрения выполнения требований ИБ. Взаимодействие с командами разработки • Консультировать команды разработки по вопросам безопасного программирования. • Сопровождать устранение выявленных недостатков и помогать внедрять лучшие практики безопасной разработки. Методология и аналитика • Разрабатывать и актуализировать внутренние требования, стандарты и нормативную документацию по безопасной разработке. • Подготавливать аналитические отчеты, метрики и рекомендации по повышению уровня безопасности приложений. • Участвовать в развитии процессов DevSecOps и повышении зрелости практик Application Security в организации. Требования: Профессиональные знания • Опыт работы в области информационной безопасности, Application Security или DevSecOps от 3–5 лет. • Понимание принципов Secure SDLC и DevSecOps. • Знание современных подходов к безопасной разработке и управлению уязвимостями. Практический опыт • Опыт внедрения или сопровождения процессов безопасной разработки. • Практический опыт работы с инструментами SAST, DAST, SCA, Secrets Scanning и Container Security. • Опыт анализа защищенности веб-приложений и API. • Навыки верификации уязвимостей и анализа результатов автоматизированного сканирования. • Опыт взаимодействия с командами разработки и сопровождения устранения уязвимостей. • Опыт интеграции инструментов безопасности в CI/CD будет преимуществом. Технические знания • Понимание принципов работы CI/CD и современных процессов разработки ПО. • Знание архитектуры веб-приложений, REST API, микросервисных решений и контейнеризации. • Понимание основных классов уязвимостей (OWASP Top 10, CWE, CVE). • Опыт работы с Linux, Git и системами управления задачами. Будет преимуществом • Опыт моделирования угроз и проведения архитектурных ревью. • Знание требований международных и отраслевых стандартов (OWASP ASVS, NIST SSDF, ISO/IEC 27001, PCI DSS и др.). • Наличие профильных сертификатов (например, Security+, CSSLP, GWAPT, OSCP, CEH или аналогичных). Личные качества • Аналитическое мышление и системный подход. • Умение аргументированно доносить технические рекомендации. • Самостоятельность, ответственность и инициативность. • Навыки эффективного взаимодействия с командами разработки и смежными подразделениями. Наличие международных сертификатов в области информационной безопасности будет преимуществом (Certified Secure Software Lifecycle Professional (CSSLP), Offensive Security Web Expert (OSWE), GIAC Web Application Penetration Tester (GWAPT), eWPT, Certified Kubernetes Security Specialist (CKS), Certified Kubernetes Application Developer (CKAD)).

Что предлагаем