Главный AppSec инженер
Технологии
Описание вакансии
Кратко о роли
Компания Юзтех ищет главного AppSec инженера на банковский проект. Роль предполагает экспертную поддержку команд разработки и обеспечение безопасности на всех этапах жизненного цикла ПО.
Ключевые задачи
- Анализ архитектуры решений на безопасность и согласование проектной документации.
- Моделирование сценариев угроз и управление рисками ИБ.
- Экспертная поддержка команд разработки по вопросам безопасного кода и архитектуры.
- Проведение Code Review и приоритизация бэклога уязвимостей.
- Анализ планов разработки и формирование требований к новым фичам.
- Участие в расследовании инцидентов ИБ.
Обязательные требования
- Высшее IT-образование (желательно ИБ).
- Опыт работы в анализе защищенности и архитектурной документации от 4 лет.
- Глубокие знания основ ИБ, криптографии и инфраструктуры PKI.
- Умение устранять уязвимости OWASP Top 10, OWASP Mobile Top 10, CWE Top 25.
- Понимание микросервисов, контейнеризации, CI/CD и процессов SSDLC.
- Профессиональное владение Burp Suite.
- Навыки риск-ориентированного подхода и формирования сценариев угроз.
- Локация: РФ.
Будет плюсом
- Опыт участия в CTF, Bug Bounty.
- Сертификации OSCP, OSWE, Portswigger Web Security Academy, CEH, CISSP.
- Опыт написания правил поиска уязвимостей на CodeQL.
- Владение языками программирования Java, Python или Go.
Условия и бенефиты
- Зарплата до 534 388 руб. gross.
- Удаленный формат работы.
- Оформление в штат компании Юзтех.
Процесс найма
- Для отклика свяжитесь с рекрутером в Telegram.
Главный AppSec инженер на банковский проект в команду Юзтех.
ЗП: до 534 388 руб. gross (до вычета НДФЛ).
Локация: РФ.
Формат: удаленный.
Оформление в штат Юзтех.
Требования:
- Высшее IT-образование, желательно со специализацией в области ИБ.
- Опыт работы в области практического анализа защищенности и анализа архитектурной документации от 4-х лет.
Знания:
- В области основ ИБ (протоколов, средств защиты информации, их предназначения, инфраструктуры PKI и понимания принципа работы криптографических алгоритмов).
- В области Application security: умение находить и устранять веб-уязвимости из OWASP Top 10, OWASP Mobile Top 10, CWE Top 25.
- В области экспертизы архитектуры информационных систем: умение находить ошибки/уязвимости на уровне проектной документации, в т.ч. логике бизнес процессов и предлагать релевантные механизмы и средства защиты.
- Технологий построения прикладных систем в т.ч. с использованием микросервисов и контейнеризации.
- В области анализа кода и программирования.
- Принципов работы современных веб-приложений, процессов CI/CD и безопасной разработки SSDLC.
- Типовых практик по повышению защищенности веб-приложений.
- Регуляторных требований в области ИБ.
- Методологии риск-ориентированного подхода, умение проводить качественную оценку рисков и формировать сценарии угроз.
- Профессиональный уровень владения Burp Suite (возможность использования кастомных расширений, построения многоуровневых атак, и комбинирование техник).
Будет плюсом:
- Опыт участия в ctf, bug bounty.
- Сертификации OSCP, OSWE, Portswigger Web Security Academy, CEH, CISSP.
- Опыт написания правил поиска уязвимостей на CodeQL.
- Владение одним из ЯП (Java, Python, Go).
Обязанности:
- Участвовать в проработке задач с точки зрения ИБ на всех этапах жизненного цикла проекта.
- Проводить анализ архитектуры решений на безопасность и участвовать в согласовании проектной документации.
- Моделировать сценарии угроз и участвовать в согласовании новых и пересмотре существующих рисков.
- Анализировать планы и бэклог команд разработки, предъявлять требования и рекомендации к новым фичам.
- Участвовать в расследованиях при выявлении инцидентов ИБ.
- Оказывать экспертную поддержку командам разработки по вопросам ИБ, практикам написания безопасного кода, построения архитектуры ИС и выполнения требований безопасности.
- Проводить Code Review по результатам анализа для выявления и устранения уязвимостей.
- Проводить работу с результатами сканирования инструментов безопасной разработки для выявления и устранения уязвимостей. Приоритизировать бэклог уязвимостей и контролировать их исправление.
Оригинальная вакансия:
https://t.me/appsec_job/631