Вакансии нпо эшелон: работа в IT и digital

Мы - аккредитованная, активно развивающаяся российская IТ-компания АО «НПО «Эшелон», специализирующаяся на комплексном обеспечении информационной безопасности и производстве сертифицированных средств защиты информации.
Мы приглашает в команду испытательной лаборатории АО «НПО «Эшелон» коллег-единомышленников, готовых участвовать в интересных проектах, решать интересные задачи, общаться с профессионалами своего дела, постоянно развивать свои профессиональные знания и навыки.

Какие задачи предстоит решать:

- Проведение сертификационных испытаний в части анализа защищённости и/или аудита исходных кодов программного обеспечения в соответствии с требованиями ФСТЭК России (на стороне испытательной лаборатории);

- Статический и ручной анализ исходных кодов с целью выявления недекларированных возможностей программного обеспечения, триаж результатов;

- Композиционный анализ (поиск уязвимостей из открытых источников – БДУ ФСТЭК, CVE и т.д.) и экспертиза SBoM-файлов;

- Тестирование на проникновение (Пентест) изделия;

- Написание модульных тестов и фаззинг-целей;

- Анализ и разработка документации (документация по требованиям доверия, РБПО и т.д.);

- Оформление отчётов по результатам сертификационных испытаний;

- Работа с действующими нормативными документами и стандартами (комментирование готовящихся документов, консультация заявителей по действующей нормативной правовой базе ФСТЭК России).

Мы ожидаем, что у вас есть:

- Знание основных понятий информационной безопасности (например, по ГОСТ Р 50922-2006) и безопасной разработки ПО (например, определения по ГОСТ Р 56939-2024), – понимание терминов, умение проиллюстрировать на примере;

- Опыт пользования консолью Linux;

- Знание языка программирования C/C++: базовый опыт программирования, инструменты разработки (помимо IDE), модель памяти, типовые уязвимости программ на языках с такой моделью памяти и способы защиты;

- Знание ещё одного любого интерпретируемого языка программирования;

- Готовность читать чужой код и анализировать его на ошибки;

- Умение применять навыки программирования для автоматизации рутинных задач;

- Хорошее понимание угроз из OWASP Top 10;

- Опыт работы с различными средами виртуализации (VMware, VirtualBox, и т.д.);

- Навык работы с инструментами тестирования на проникновение (Burp Suite, Metasploit, Nmap, Acunetix, OpenVAS и т.д.);

- Опыт выполнения технических или документальных задач в области информационной безопасности или безопасной разработки (например, моделирование угроз, аудит на соответствие 152-ФЗ, триаж срабатываний статического анализатора).

Будет преимуществом:

- Знание Docker;

- Высшее техническое образование (по направлению «Информационная безопасность»);

- Опыт применения специализированных инструментов статического анализа (АК-ВС, Svace, SonarQube), понимание принципов разметки срабатываний;

- Опыт разработки программной документации (ЕСПД, документация по требованиям доверия и т.д.);

- Понимание требований и порядка сертификации средств защиты информации в соответствии с приказами ФСТЭК России № 55, 76, Методикой ВУ и НДВ (третья редакция, выписка), ГОСТ Р 56939-2024 (ГОСТ РБПО), ГОСТ Р ИСО/МЭК 15408;

- Опыт работы в области практического анализа защищенности и тестирования на проникновение;

- Опыт работы с программным обеспечением для выполнения фаззинг-тестирования (AFL++, Atheris, Jazzer).

Мы предлагаем:

- уникальную возможность работать в одной из крупнейших аккредитованных IT Компаний с возможностью карьерного и функционального роста;
- мы заинтересованы в развитии пришедших к нам специалистов - наша команда профессионалов готова делиться своим опытом;
- стабильный и прозрачный доход;
- строгое соблюдение гарантии установленных Трудовым законодательством РФ;
- комфортные условия для работы наших сотрудников (офис в 10 минутах ходьбы от м. Преображенская площадь или м. Электрозаводская);
- рабочее место, оборудованное всем необходимым для эффективной работы;
- мы заботимся о здоровье наших сотрудников - предоставляем расширенное ДМС (со стоматологией и обслуживанием в лучших клиниках города);
- уютную обеденную зону с бесплатными чаем, кофе.
- мобильную связь для сотрудников компании;
- достойный уровень заработной платы, премия по итогам года;
- возможность обучения за счёт Компании;
- дополнительное негосударственное пенсионное страхование.

Ключевые навыки:

Сертификация ФСТЭК, Выявление НДВ, Языки программирования, Статический анализ, Композиционный анализ, CVE, Тестирование на проникновение, Pentest, Fuzzing, Динамический анализ

Компания АО «НПО «Эшелон» (является аккредитованной IT-компанией) специализируется на оказании услуг по сертификации, аттестации и лицензировании, а также разрабатывает собственные инструменты анализа кода и тестирования безопасности программного обеспечения.

Основные направления Центра оценки соответствия и тестирования:

• Сертификация по требованиям ФСТЭК России.
• Оценка соответствия по требованиям ОУД в рамках проверки банковских приложений (требования ГОСТ ИСО/МЭК 15408, Профиля защиты ЦБ, положения Банка России).
• Проведение тематических исследований по требованиям ФСБ России.
• Проведение оценки по требованиям стандарта платформы Цифрового Рубля.
• Участие в разработке стандартов в области защиты информации.
• Внедрение процессов безопасной разработки по требованиям ГОСТ Р 56939-2016, ГОСТ Р 56939-2024.

Обязанности:

• Развитие инструмента анализа безопасности программного обеспечения собственной разработки, его функциональных возможностей и пользовательских сценариев.
• Сбор, анализ и формализация требований заказчиков и пользователей, их перевод в функциональные требования к продукту.
• Анализ нормативных требований и их учёт при развитии продукта.
• Формирование и приоритизация бэклога, подготовка пользовательских историй, сценариев использования и критериев приёмки.
• Подготовка технических заданий и спецификаций для команды разработки, включая описание интеграций и программных интерфейсов (API).
• Взаимодействие с разработчиками, тестировщиками и дизайнером на всех этапах, от постановки задачи до приёмки реализованной функциональной возможности.
• Проработка пользовательских сценариев и прототипов интерфейса совместно с дизайнером.
• Участие в планировании релизов и формировании дорожной карты развития продукта.
• Анализ рынка и решений конкурентов, отслеживание тенденций в области анализа безопасности ПО.
• Сбор и анализ обратной связи от заказчиков, участие во встречах с заказчиками и проведение демонстраций продукта.
• Участие в подготовке пользовательской и эксплуатационной документации, а также документации для сертификации продукта.

Наши ожидания:

• Высшее/неоконченное техническое образование.
• Опыт работы системным или бизнес-аналитиком либо аналитиком продукта в сфере разработки программного обеспечения.
• Опыт сбора, формализации и согласования требований, подготовки технических заданий и спецификаций.
• Владение нотациями моделирования и практиками описания требований.
• Понимание жизненного цикла разработки ПО, опыт работы с системами управления задачами.
• Понимание принципов работы клиент-серверных и веб-приложений, REST API, форматов обмена данными.
• Базовое понимание информационной безопасности и типовых уязвимостей ПО.
• Умение вести переговоры с заказчиками и доносить требования до команды разработки.
• Хорошие аналитические навыки и грамотная письменная речь.

Будет плюсом:

• Опыт работы с инструментами статического, композиционного или динамического анализа кода.
• Знание современных требований по безопасности ПО, включая ГОСТ Р 56939-2024, ГОСТ Р 71207-2024.
• Опыт участия в управлении продуктом.
• Знание английского языка на уровне понимания зарубежных стандартов и документации.

Мы предлагаем:

• Интересную работу в дружелюбном молодом коллективе с адекватным менеджментом.
• Участие в интересных проектах и задачах, связанных с информационной безопасностью, включая развитие собственного продукта в области анализа безопасности ПО.
• Прозрачную и понятную финансовую мотивацию (оклад + премиальная часть от выполненного проекта), а также возможность карьерного роста.
• Перспективу роста до руководителя продукта с ответственностью за его развитие и дорожную карту.
• Возможность участия в проведении обучающих мероприятий и консультаций для заказчиков (с дополнительной оплатой).
• Индивидуальный график работы (8:00-17:00; 9:00-18:00; 10:00-19:00).
• Официальное трудоустройство в соответствии с ТК РФ (оплачиваемый отпуск, больничный).
• Оплату мобильной связи.
• Частичную компенсацию ДМС и абонемента в фитнес-клуб.
• Корпоративную пенсионную программу (дополнительные перечисления взносов работодателем в НПФ).
• Возможность внутреннего обучения, повышения квалификации в учебном центре компании.
• Возможность профессионального роста и самореализации, введение в рабочий процесс новых подходов и методик.

Место работы: м. Электрозаводская / м. Преображенская площадь.

Компания АО НПО «Эшелон» (является аккредитованной IT-компанией) специализируется на оказании услуг по сертификации, как обязательной, так и в рамках добровольной системы сертификации (СДС).

Основные направления Центра оценки соответствия и тестирования:

• Проведение внешнего и внутреннего тестирования на проникновение, анализа защищённости информационных систем, анализ кода и проверка безопасности ПО.
• Сертификация по требованиям ФСТЭК России.
• Оценка соответствия по требованиям ОУД в рамках проверки банковских приложений (требования ГОСТ ИСО/МЭК 15408, Профиля защиты ЦБ, положения Банка России).
• Проведение тематических исследований по требованиям ФСБ России.
• Проведение оценки по требованиям стандарта платформы Цифрового Рубля.
• Принятие участия в разработке стандартов в области защиты информации (в рамках в рабочей группы ТК-362).
• Внедрение процессов безопасной разработки по требованиям ГОСТ Р 56939-2024.

Обязанности:

• Проведение тестирования на проникновение и анализ защищённости программных продуктов: веб-приложений, десктопных и мобильных приложений, серверного и системного ПО. Проведение тестирования инфраструктуры, в которой функционирует продукт (внешние и внутренние системы).
• Проведение композиционного анализа ПО, выявление заимствованных (сторонних) компонентов и их зависимостей (SBOM), поиск известных уязвимостей в компонентах и оценка связанных рисков.
• Поиск секретов (учётных данных, ключей, токенов, паролей) в исходном коде и дистрибутивах ПО.
• Идентификация уязвимостей и оценка рисков для информационной безопасности.
• Разработка и выполнение сценариев атак для имитации действий злоумышленников, эксплуатация уязвимостей.
• Проведение тестирования на проникновение в инфраструктуру организации по моделям Purple Team, Red Team и по принципам Black/Gray/White Box Testing.
• Выявление угроз безопасности информации, в том числе со стороны легитимных пользователей.
• Документирование результатов тестирования: подготовка отчётов о проведённых тестированиях и анализе, оформление паспортов уязвимостей, повторная верификация устранения найденных уязвимостей для оценки эффективности внесённых исправлений.

Наши ожидания:

• Высшее/неоконченное техническое образование.
• Знание действующих нормативных требований в сфере защиты информации (24-ФЗ, 149-ФЗ, 152-ФЗ, 187-ФЗ и пр.).
• Опыт работы с системами защиты информации: SIEM, EDR/XDR, IDS/IPS, NGFW, WAF.
• Понимание сетевых технологий (TCP/IP, VLAN, NAT, VPN), знание модели OSI, принципов IP-маршрутизации, принципов работы прикладных протоколов (DNS, HTTP и пр.).
• Знание принципов виртуализации, контейнеризации и сервисов, составляющих инфраструктуру приложений (веб-сервера, СУБД и пр.).
• Понимание актуальных векторов атак и уязвимостей, а также наличие навыков выявления и эксплуатации уязвимостей OWASP Top 10.
• Опыт проведения тестирований на проникновение и (или) работы с результатами таких тестов.
• Опыт работы с инструментами тестирования на проникновение, сканерами безопасности.
• Умение писать эксплойты или PoC под известные уязвимости.
• Понимание принципов композиционного анализа и рисков, связанных с использованием сторонних компонентов, а также практик поиска секретов в коде и артефактах сборки.
• Хорошие аналитические навыки и опыт документирования результатов тестирования.

Будет плюсом:

• Знание английского языка на уровне понимания зарубежных стандартов.
• Наличие сертификатов в области информационной безопасности (CEH, OSCP, CISSP и др.)
• Опыт работы с инструментами композиционного анализа (OWASP Dependency-Check, Dependency-Track) и поиска секретов (gitleaks, TruffleHog).
• Опыт статического анализа кода (SAST).
• Опыт взаимодействия с командой SOC.
• Опыт анализа защищенности Windows.
• Опыт анализа защищенности мобильных приложений.
• Опыт работы администратором Linux или администратором сетевого оборудования.
• Желание в развитии методологии и стандартов тестирования на проникновение и анализа защищенности.

Мы предлагаем:

• Интересную работу в дружелюбном молодом коллективе с адекватным менеджментом.
• Участие в интересных проектах и задачах, связанных с информационной безопасностью.
• Прозрачную и понятную финансовую мотивацию (оклад + премиальная часть от выполненного проекта), а также возможность карьерного роста.
• Возможность участия в проведении обучающих мероприятий и консультаций для заказчиков (с дополнительной оплатой).
• Индивидуальный график работы (8:00-17:00; 9:00-18:00; 10:00-19:00).
• Официальное трудоустройство в соответствии с ТК РФ.
• Оплату мобильной связи.
• Оплату обучающих курсов для сотрудников.
• Обеспечение материально-технической базой (корпоративная техника - компьютеры, ноутбуки, мобильные устройства и пр.).
• Частичную компенсацию ДМС и абонемента в фитнес-клуб.
• Корпоративная пенсионная программа (дополнительные перечисления взносов работодателем в НПФ).
• Возможность внутреннего обучения, повышения квалификации в учебном центре компании.
• Возможность профессионального роста и самореализации, введение в рабочий процесс новых подходов и методик.

Компания АО «НПО «Эшелон» (является аккредитованной IT-компанией) специализируется на оказании услуг по сертификации, аттестации и лицензировании, а также разрабатывает собственные инструменты анализа кода и тестирования безопасности программного обеспечения.

Обязанности:

• Проектирование, настройка и сопровождение безопасного конвейера CI/CD для команд, разрабатывающих инструменты анализа кода и тестирования.
• Встраивание в конвейер инструментов статического и композиционного анализа, поиска секретов в коде, динамического анализа и фаззинг-тестирования, в том числе инструментов собственной разработки компании.
• Настройка security gates на этапах слияния изменений и выпуска версий, формирование критериев их прохождения совместно с командой разработки.
• Развёртывание, настройка и сопровождение инфраструктуры разработки и инструментов анализа (системы контроля версий, сборочные агенты, репозитории артефактов, системы управления дефектами).
• Обеспечение безопасности самого конвейера, включая изоляцию сборочных агентов, управление секретами, разграничение доступа, контроль целостности и подпись выпускаемых артефактов.
• Организация и регулярное обновление локальных зеркал репозиториев зависимостей и баз данных уязвимостей для работы в изолированном контуре.
• Автоматизация формирования перечня заимствованных компонентов (SBOM), сбора и агрегации результатов анализа, оповещения ответственных о выявленных дефектах.
• Подготовка тестовых стендов и окружений, контейнеризация сервисов и описание инфраструктуры в виде кода.
• Апробация собственных инструментов компании в реальном конвейере и передача обратной связи командам разработки.
• Участие во внедрении процессов безопасной разработки по ГОСТ Р 56939-2024 и подготовке артефактов, подтверждающих их выполнение.
• Документирование конфигурации конвейера, подготовка инструкций и консультирование разработчиков.

Наши ожидания:

• Высшее/неоконченное техническое образование.
• Практический опыт построения и сопровождения конвейеров CI/CD (GitLab CI, Jenkins или аналоги).
• Уверенные навыки администрирования Linux, в том числе отечественных дистрибутивов (Astra Linux, РЕД ОС, Альт).
• Понимание сетевых технологий (TCP/IP, DNS, HTTP, VPN) и принципов сегментации сети.
• Опыт работы с контейнеризацией и оркестрацией (Docker, Kubernetes), а также с инструментами описания инфраструктуры в виде кода (Ansible, Terraform или аналоги).
• Опыт встраивания в конвейер инструментов анализа безопасности (SAST, SCA, DAST, поиск секретов) и работы с их результатами.
• Опыт работы с репозиториями артефактов (Nexus, Artifactory или аналоги) и системами управления секретами (HashiCorp Vault или аналоги).
• Понимание систем сборки (Make, CMake, Maven, Gradle и др.) и уверенная работа с Git.
• Навыки написания скриптов автоматизации на Bash и Python.
• Умение документировать технические решения и доступно объяснять их разработчикам.

Будет плюсом:

• Знание ГОСТ Р 56939-2024, ГОСТ Р 71207-2024 и требований ФСТЭК России к безопасной разработке программного обеспечения.
• Опыт работы в изолированных контурах без доступа к сети Интернет.
• Опыт работы с системами агрегации результатов анализа и управления уязвимостями (DefectDojo или аналоги).
• Опыт настройки фаззинг-тестирования в конвейере (libFuzzer, AFL++).
• Опыт работы с системами мониторинга (Prometheus, Grafana, Zabbix).
• Знание английского языка на уровне чтения технической документации.
• Желание участвовать в развитии собственных инструментов анализа кода и тестирования.

Мы предлагаем:

• Интересную работу в дружелюбном молодом коллективе с адекватным менеджментом.
• Участие в интересных проектах и задачах, связанных с информационной безопасностью, включая развитие собственных инструментов анализа кода и тестирования.
• Прозрачную и понятную финансовую мотивацию (оклад + премиальная часть от выполненного проекта), а также возможность карьерного роста.
• Возможность участия в проведении обучающих мероприятий и консультаций для заказчиков (с дополнительной оплатой).
• Индивидуальный график работы (8:00-17:00; 9:00-18:00; 10:00-19:00).
• Официальное трудоустройство в соответствии с ТК РФ (оплачиваемый отпуск, больничный).
• Оплату мобильной связи.
• Частичную компенсацию ДМС и абонемента в фитнес-клуб.
• Корпоративную пенсионную программу (дополнительные перечисления взносов работодателем в НПФ).
• Возможность внутреннего обучения, повышения квалификации в учебном центре компании.
• Возможность профессионального роста и самореализации, введение в рабочий процесс новых подходов и методик.

Место работы: м. Электрозаводская / м. Преображенская площадь.