Вакансии интеллектуальные системы управления: работа в IT и digital

О компании

Мы разрабатываем программное обеспечение и оказываем ИТ-услуги для российских и международных заказчиков. Растём, работаем с корпоративными клиентами и развиваем практики информационной безопасности, качества и комплаенса.

Чем предстоит заниматься

• Развивать и поддерживать систему управления информационной безопасностью (СУИБ): политики, регламенты, процедуры, инструкции.

• Проводить внутренние аудиты ИБ и compliance-аудиты, выявлять несоответствия и контролировать устранение замечаний.

• Выполнять gap-анализ относительно требований стандартов, политик клиентов и регуляторных требований.

• Проводить оценку рисков ИБ, вести реестр рисков, предлагать меры обработки и отслеживать их реализацию.

• Готовить компанию и проекты к внешним аудитам, сертификации и аттестации.

• Взаимодействовать с разработкой, ИТ-инфраструктурой, HR, юридическим отделом и заказчиками по вопросам ИБ и комплаенса.

• Разрабатывать и поддерживать доказательную базу: свидетельства выполнения контролей, отчёты, чек-листы, шаблоны документов.

• Участвовать в предпродажных активностях: отвечать на вопросы клиентов по ИБ, готовить разделы в коммерческих предложениях и презентации.

• Повышать осведомлённость сотрудников в вопросах информационной безопасности.

Что мы ожидаем

• Опыт в GRC, ИБ, аудите ИБ или комплаенсе от 3 лет.

• Знание ISO/IEC 27001, ISO/IEC 27002 и практического применения требований СУИБ.

• Опыт разработки политик, регламентов и другой документации ИБ.

• Понимание процессов управления рисками: идентификация, оценка, обработка, мониторинг.

• Опыт проведения внутренних аудитов или участия во внешних аудитах.

• Умение работать с большим объёмом требований, структурировать информацию и вести несколько задач параллельно.

• Хорошая письменная речь: умение готовить понятные документы, отчёты и выводы.

• Ответственность, самостоятельность и умение договариваться с разными командами.

Будет преимуществом

• Знание NIST CSF, SOC 2, PCI DSS, CIS Controls.

• Знание российской регуляторики: 152-ФЗ, 187-ФЗ, требования ФСТЭК и ФСБ, ГОСТ Р 57580.

• Опыт работы с ISO 27001 Lead Auditor / Lead Implementer или аналогичными сертификациями.

• Сертификации CISA, CISM, CRISC.

• Опыт работы в ИТ-компании, аутсорсинге или проектной разработке.

• Английский язык на уровне B2 и выше — если работаете с международными заказчиками.

Мы предлагаем

• Удалённый или гибридный формат работы.

• Официальное оформление и белую заработную плату / Оформление по Договору (ИП).

• Возможность влиять на развитие ИБ-практик компании.

• Профессиональное обучение, сертификации и участие в интересных проектах.

• Работу в команде, где ценят системность, инициативу и практический результат.

Как откликнуться

Пришлите резюме и коротко расскажите:

• с какими стандартами и фреймворками работали;

• участвовали ли в аудитах или подготовке к сертификации;

• какие документы СУИБ разрабатывали самостоятельно.

Чем предстоит заниматься

• Проводить внешний и внутренний пентест корпоративной инфраструктуры: сетей, серверов, Active Directory, сервисов удаленного доступа, VPN, почтовых систем и смежных компонентов.

• Выявлять, проверять и эксплуатировать уязвимости в рамках согласованного периметра и правил проведения работ.

• Проводить анализ защищенности сетевой инфраструктуры, облачных сред и внутренних сервисов компании.

• Оценивать риски выявленных уязвимостей, определять возможные векторы развития атаки и последствия для бизнеса.

• Готовить технические отчеты, executive summary и рекомендации по устранению выявленных недостатков.

• Проводить повторную проверку устранения критичных замечаний.

• Участвовать в задачах offensive security: анализе инцидентов, реагировании на подозрительную активность, усилении защитных мер, разработке и проверке сценариев реагирования.

• Проводить тестирование безопасности мобильных приложений, преимущественно Android, в объеме до 20% рабочего времени: анализ сетевого трафика, хранимых данных, API, механизмов аутентификации и клиентской логики.

• Взаимодействовать с ИТ-, DevOps- и разработческими командами, а также службой информационной безопасности для устранения выявленных недостатков.

Что важно уметь

• Уверенно проводить внешний и внутренний пентест инфраструктуры.

• Знать сетевые протоколы, принципы построения корпоративных сетей, Active Directory, Windows- и Linux-сред.

• Работать с инструментами тестирования на проникновение: Nmap, Burp Suite, Metasploit, BloodHound, Impacket, CrackMapExec, Responder, Mimikatz или аналогами.

• Понимать типовые векторы атак: фишинг, initial access, lateral movement, privilege escalation, persistence, exfiltration.

• Проверять защищенность облачных сервисов и контурных решений, используемых компанией.

• Понимать основы анализа безопасности веб-приложений и API.

• Четко документировать результаты: от технических деталей до понятных рекомендаций для владельца системы.

• Понимать основы offensive security: SIEM, EDR/XDR, логирование, корреляцию событий, реагирование на инциденты и threat hunting — на уровне, достаточном для участия в задачах направления.

Будет плюсом

• Опыт пентеста Active Directory, VPN, почтовых сервисов, систем виртуализации и контейнерных сред.

• Знание облачных платформ: Yandex Cloud, VK Cloud, AWS, Azure или GCP.

• Опыт анализа безопасности мобильных приложений Android: MobSF, Frida, Objection, Burp Suite, jadx, adb.

• Опыт участия в Red Team-проектах, разработке сценариев атак и оценке эффективности защитных механизмов.

• Практика работы с SIEM- и EDR-решениями, расследования инцидентов.

• Сертификации OSCP, OSWE, CRTP, CRTO, HTB CPTS, eJPT или сопоставимые.

Мы предлагаем

• Работу с реальной инфраструктурой и возможность влиять на уровень защищенности компании.

• Самостоятельность в проведении тестов и участие в развитии процессов информационной безопасности.

• Гибридный формат работы.

• Конкурентную оплату по результатам собеседования.

Как откликнуться

При отклике будет плюсом, если в сопроводительном письме вы укажете:

• Опыт в пентесте инфраструктуры: какие типы систем и сервисов тестировали.

• Опыт в Active Directory и внутренних сетях.

• Примеры офсек-задач, в которых участвовали.

• Опыт работы с мобильными приложениями, если он есть.

• Ключевые инструменты и сертификаты.

• Ожидания по доходу и готовность к формату работы.