Старший инженер по информационной безопасности

Что предстоит делать

О роли Приоритет №1 для этой роли: закрыть пробелы, выявленные нашим недавним внешним аудитом, а затем продолжать сокращать нашу поверхность атаки, чтобы наши сайты и клиентские порталы оставались доступными и неизменными, наши email-домены нельзя было использовать для обмана людей, а наши данные не утекали. Ни одно состояние безопасности никогда не бывает полностью «завершённым»; мы хотим найти человека, для которого это остаётся на первом месте, а не втискивается между другими делами. Мы нанимаем Senior Information Security Engineer, который будет отвечать за внешнюю безопасность наших корпоративных сайтов и клиентских порталов, наших email-доменов и наших данных. Вы будете тесно работать с нашей командой DevOps (которая отвечает за исполнение инфраструктуры) и нашими внутренними разработчиками (которые отвечают за код приложений), чтобы доводить исправления до релиза, а также будете управлять нашей программой внешних пентестов/аудитов как внешней проверкой того, что всё действительно работает. Есть и вторичный слой работы (управление доступом в нашем портфеле SaaS из ~40 сервисов, оценка инструментов безопасности). Вы отвечаете за это в той мере, в какой позволяет ваша загрузка. Если это начнёт съедать основную миссию, это ваш сигнал обосновать найм человека под вашим руководством, а не позволять проседать любой из сторон. Подчиняется: CIO Ключевые обязанности Приоритет №1: закрывать и продолжать закрывать внешнюю поверхность атаки • Отвечать за безопасность и целостность наших публичных сайтов и клиентских порталов: защищённый доступ к панелям DNS/CDN/хостинга, чтобы изменения не могли происходить вне контролируемого процесса, удаление wildcard DNS-записей, закрытие открытых admin/API endpoints • Остановить email-спуфинг и захват аккаунтов: SPF и DMARC на каждом корпоративном домене, доведённые от p=none до p=reject, с проверенным DKIM для каждой отправляющей системы (Google Workspace, Zoho, SendPulse и другие), плюс принудительная 2FA/phishing-resistant аутентификация и мониторинг аномальных входов в Google Workspace, особенно для сотрудников отдела продаж. Именно это реально останавливает самый дорогостоящий сценарий для бизнеса в сфере недвижимости: кто-то перехватывает активную ветку сделки, чтобы перенаправить банковский перевод клиента • Предотвратить кражу данных: убрать секреты из клиентского кода, добавить CAPTCHA и rate limiting на публичных формах, внедрить HTTPS/HSTS и безопасные флаги cookie, а также ограничить доступ к системам, которые действительно содержат чувствительные данные (записи о клиентах и сделках в нашей CRM, HR-данные, финансовые системы и наш password vault): аудит административных аккаунтов и 2FA там — основа этой миссии, а не запоздалая мысль • Следить за признаками того, что клиентские или корпоративные данные где-либо в вышеперечисленном доступны или выводятся • Работать в партнёрстве с DevOps по контролю на уровне CDN/WAF и с разработчиками по исправлениям на уровне приложений. Вы задаёте требование и доводите его до закрытия; обычно именно у них ключи к фактическому изменению • Определять объём, выбирать и управлять внешними вендорами пентестов и аудитов безопасности: это ваша внешняя проверка того, что поверхность атаки действительно закрыта, а не просто считается закрытой Вторичная зона ответственности (отвечайте за неё, если есть загрузка; обоснуйте найм, если её нет) • Управление безопасностью остальной части нашего портфеля сторонних SaaS (~35 инструментов с более низкой чувствительностью: Zoom, Miro, Figma, Adobe, Dropbox и подобные): кто владеет административными аккаунтами, внедрение 2FA, рискованные конфигурации • Оценить, нужно ли нам инвестировать в SIEM, DLP, EDR или что-то ещё, и построить бизнес-обоснование, если вы считаете, что стоит. Мы не привязаны заранее ни к какому инструменту; это ваше решение, которое нужно принять и защитить, когда у вас будет на это время

Что ждём от вас

• 5+ лет в информационной безопасности или security engineering с подтверждённым опытом реального закрытия проблем поверхности атаки (DNS/email-спуфинг, открытые секреты, незакрытые пробелы периметра), а не просто отчётов о них
• Практический, hands-on опыт с аутентификацией email/доменов (SPF/DMARC/DKIM), TLS/HSTS и заголовками безопасности веб-приложений
• Опыт укрепления Google Workspace (или аналогичного) против захвата аккаунтов: 2FA/phishing-resistant аутентификация, мониторинг аномальных входов и ограничение административного доступа к высокоценным системам (CRM, HR, финансы)
• Опыт поиска или управления устранением реальных уязвимостей веб-приложений: открытые секреты, отсутствие CAPTCHA/rate limiting, ошибки конфигурации CORS и заголовков
• Комфортно работать кросс-функционально с DevOps и разработчиками, чтобы доводить исправления до релиза, а не действовать в изоляции
• Опыт определения объёма и управления внешними вендорами аудита безопасности или пентестов
• Рабочее знание Linux и Windows, а также ключевых концепций сетей
• Будет плюсом
• Опыт управления идентификацией/доступом в большом портфеле SaaS-инструментов (внедрение 2FA, аудит административных аккаунтов)
• Твёрдое понимание того, что реально решают инструменты SIEM, DLP и EDR, и опыт построения бизнес-обоснования за (или против) внедрения одного из них
• Опыт работы с платформами CDN/WAF (Gcore, Cloudflare)
• Понимание аспектов защиты данных/приватности, relevantных для обработки клиентских лидов и персональных данных

Что предлагаем