Ведущий специалист ИБ/ Ведущий специалист по защите информации

TrueStats — продуктовая B2B SaaS-компания, которая создаёт аналитический сервис для продавцов на маркетплейсах (Wildberries, Ozon и др.). Мы помогаем предпринимателям принимать решения на основе данных, расти быстрее и работать эффективнее.

Наш сервис работает с API-ключами маркетплейсов, финансовой информацией и персональными данными клиентов. Для нас важно, чтобы инфраструктура была стабильной, наблюдаемой и защищённой, а релизы выходили быстро и без простоев.

Мы ищем инженера, который возьмёт под себя инфраструктуру и безопасность. Ваша задача — чтобы инциденты находили раньше клиентов, а данные клиентов были надёжно защищены. При этом безопасность не должна тормозить разработку: вы будете работать бок о бок с командой.

Чем предстоит заниматься:

• Эксплуатировать и развивать кластеры Kubernetes и окружения stage и prod;
• Поддерживать и улучшать CI/CD в GitLab, выкатывать релизы и хотфиксы;
• Администрировать PostgreSQL, ClickHouse и Redis вместе с разработкой: репликация, бэкапы, производительность, безопасные миграции;
• Выстраивать мониторинг, логирование, трейсинг и алертинг;
• Реагировать на инциденты и участвовать в постмортемах;
• Отвечать за безопасность инфраструктуры и приложений: уязвимости, доступы, секреты, сетевые политики, шифрование;
• Ревьюить архитектурные решения и изменения с точки зрения безопасности, консультировать разработчиков;
• Вести документацию и регламенты: доступы, реагирование на инциденты, восстановлени.

Требования:

• От 4 лет в DevOps/SRE, из них 1–2 года практического опыта в задачах безопасности;
• Опыт эксплуатации Kubernetes в продакшене: Helm, ресурсы и лимиты, автоскейлинг, сетевые политики, ingress;
• GitLab CI, Docker, сборка и доставка контейнеров;
• Linux и сети на уровне уверенной диагностики;
• Опыт эксплуатации PostgreSQL: репликация, PgBouncer, бэкапы и восстановление, разбор блокировок и медленных запросов;
• Наблюдаемость: метрики, логи, трейсы (OpenTelemetry, SigNoz или Prometheus/Grafana);
• Infrastructure as Code (Terraform, Ansible или аналоги);
• Безопасность: OWASP Top 10, hardening контейнеров и кластеров, управление секретами (Vault или аналог), IAM, сканеры (Trivy, Semgrep, Gitleaks и подобные), TLS и шифрование данных;
• Опыт разбора инцидентов безопасности;
• Скрипты на Bash и Python или Go.

Будет плюсом:

• Опыт с ClickHouse;
• Знание 152-ФЗ;
• Опыт подготовки к пентесту или аудиту;
• Опыт с WAF и защитой от DDoS;
• Опыт с PHP-приложениями (php-fpm, очереди воркеров).

Что мы предлагаем:

• Участие в проекте, который уже нашёл своих пользователей и продолжает расти.
• Конкурентную зарплату с возможностью её увеличения по мере роста продукта и вашего профессионального развития.
• Работаем в нашем ламповом офисе в Санкт-Петербурге на Петроградке с возможностью здорового гибрида (3 дня в офисе, 2 дня удалённо). Есть опция удалённой работы.
• Обеды в офисе каждый день.
• ДМС после успешного прохождения испытательного срока.

Аккредитованная ГК "ИнфоТеКС", входящая в ТОП-5 компаний России в сфере защиты информации, лидер в разработке СЗИ, приглашает в команду сертификационной лаборатории специалиста на задачи экспертного анализа множества программных и программно-аппаратных продуктов (в том числе с открытым исходным кодом и с использованием разнообразных фреймворков).

Задачи:

• Первый этап – подготовка и прохождение аттестации ФСТЭК.
• После успешной аттестации - деятельность в качестве работника Испытательной лаборатории ФСТЭК России, в том числе подготовка и проведение сертификационных испытаний.
• Экспертиза сторонних продуктов на соответствие требованиям.
• Помощь внешним компаниям в разработке, документации и проведению исследований программных продуктов на соответствие требованиям.
• Автоматизация процессов проведения оценки.

Некоторые составляющие сертификационных испытаний:

• Подготовка ПМИ в соответствии с методиками ФСТЭК.
• Функциональный анализ. При необходимости, функциональное тестирование.
• Архитектурный анализ (в том числе с использованием базы уязвимостей CWE).
• Статический анализ (SAST). Разметка предупреждений анализатора (анализ каждого выделенного анализатором фрагмента кода для выявления False Positive).
• Динамический анализ (DAST), включая fuzzing.
• При необходимости, OSINT (в случае использовании в коде фрагментов Open Source, поиск в сети известных для этих фрагментов уязвимостей, в том числе с использованием базы уязвимостей CVE).
• Другие необходимые испытания (pentest и прочее).
• Подготовка экспертного отчета по результатам испытания (ПМИ с ожидаемыми результатами, проведенные испытания, полученные результаты, подробная и детальная аргументация выводов). Совокупно «бумажная» часть занимает до 40% времени.

Квалификация и другие требования:

• ЯЗЫКИ ПРОГРАММИРОВАНИЯ: на входе – продвинутый уровень понимания C/C++. В дальнейшем – готовность изучать эти и другие ЯП до уровня экспертного анализа.
• Готовность на первом этапе работы подготовиться (с помощью коллег) и сдать обязательный экзамен ФСТЭК (части экзамена: нормативные документы, SAST, fuzzing).
• Готовность к прохождению профильных курсов, участию в конференциях, самообучению.
• Высшее образование законченное (обязательно).
• Готовность и отсутствие препятствий для оформления допуска по 3 форме (обязательно).

Условия работы:

• Работа в офисе в Пензе (бизнес-центр «Атриум»).
• Удаленки и гибрида нет.
• Командировки (не частые и не долгие).
• Полное соблюдение трудового законодательства РФ, оплачиваемые отпуска и больничные листы, "белая" заработная плата.
• Продолжительность рабочего дня 8 часов + 1 час на обед.
• Оплачиваемое работодателем питание в офисе или кафе.
• ДМС (добровольное медицинское страхование) - различные варианты программ, страховка от несчастных случаев.
• Корпоративные мероприятия и спортивные инициативы (футбол, волейбол, баскетбол).
• Изучение английского по корпоративным расценкам.
• Возможность получения профессиональных сертификатов и прохождения курсов повышения квалификации за счёт компании.