Инженер по установке и настройке СЗИ/СКЗИ

Ищем специалиста по информационной безопасности, который будет обеспечивать соответствие государственных информационных систем требованиям регуляторов и сопровождать ИБ-документацию на всех этапах жизненного цикла систем.

Вам предстоит сочетать экспертную работу с нормативными требованиями и документацией, анализ инфраструктуры и взаимодействие с командами разработки, архитекторами, испытательными центрами и контролирующими органами.

Чем предстоит заниматься:

• Вести и поддерживать в актуальном состоянии организационно-распорядительную документацию по информационной безопасности для государственных информационных систем.

• Контролировать актуальность версий программного обеспечения, компонентов технологического стека и обновлений на виртуальных машинах.

• Проводить регулярное сканирование информационных систем на уязвимости, анализировать результаты и организовывать устранение выявленных рисков с применением средств защиты информации.

• Актуализировать модели угроз и модели нарушителя, технические паспорта информационных систем и сопроводительную документацию.

• Организовывать и проводить периодический контроль защищенности и переаттестацию информационных систем в соответствии с требованиями Приказа ФСТЭК России №117.

• Взаимодействовать с сертификационными и испытательными центрами: готовить программы и методики испытаний, отрабатывать замечания, сопровождать процедуры до получения заключения.

• Взаимодействовать с регулирующими органами, включая ФСТЭК России и ФСБ России, в рамках задач по защите государственных информационных систем.

• Анализировать ИТ- и ИБ-инфраструктуру: описывать сетевую архитектуру, IP-адресацию, порты, протоколы, интеграционные связи и другие параметры для технических паспортов и документации.

• Ставить задачи разработчикам и системным архитекторам по развитию и сопровождению государственных информационных систем.

• Участвовать в сборе, формализации и согласовании требований, подготовке технических заданий и постановок на доработку систем в части ИБ.

• Опыт работы в сфере информационной безопасности, предпочтительно в государственных информационных системах, госсекторе или проектах с государственными контрактами.

• Знание и практический опыт применения требований Приказа ФСТЭК России №117, а также Методики оценки угроз безопасности информации ФСТЭК России от 05.02.2021.

• Понимание процессов обеспечения информационной безопасности государственных информационных систем, включая подготовку к контролям, аттестации и переаттестации.

• Знание сетевых технологий на уровне L3–L4: IP-адресация, маршрутизация, сетевые порты, протоколы и межсетевое взаимодействие.

• Базовое понимание принципов работы виртуальных машин и виртуальной инфраструктуры.

• Умение работать с нормативной, технической и организационно-распорядительной документацией по ИБ.

• Опыт подготовки, актуализации и согласования моделей угроз, технических паспортов, программ и методик испытаний, иной документации в области ИБ.

• Опыт бизнес- и системного анализа: описание процессов и требований, подготовка технических заданий, постановка задач командам разработки и архитектуры.

• Умение самостоятельно организовывать работу по нескольким параллельным задачам, взаимодействовать с техническими командами, внешними подрядчиками и контролирующими органами.

Условия:

• График работы гибридный: 1 день в неделю из офиса, 4 дня дистанционно. По желанию сотрудника количество дней из офиса можно увеличить;
• Формат работы: гибкое начало рабочего дня, занятость 40 часов в неделю;
• Расширенный соцпакет;
• Оборудование и ресурсы для решения производственных задач.

• Проводить ручной анализ защищённости веб-приложений и API, включая проверку клиентской и серверной части и т.д.;
• Проводить ручной анализ исходного кода, определять причины возникновения уязвимостей и выявлять аналогичные проблемы в других компонентах продукта;
• Оценивать критичность уязвимостей с учётом подтверждённого воздействия;
• Документировать результаты анализа, включая описание уязвимости, условия и способ эксплуатации, PoC или эксплойт;
• Взаимодействовать с командами разработки, QA, DevOps и DevSecOps при устранении уязвимостей, объяснять причины проблем и согласовывать способы исправления и проверки;
• Анализировать архитектуру приложений и сервисов, участвовать в моделировании угроз и выявлении возможных сценариев атак на этапах проектирования и разработки;
• Валидировать и проводить триаж результатов SAST, SCA, DAST, Secret Scanning и других автоматизированных проверок безопасности;
• Разрабатывать и совершенствовать правила SAST, сценарии DAST и другие автоматизированные проверки безопасности;

• Оказывать консультации специалистам SOC при расследовании инцидентов;
• Разрабатывать и совершенствовать методики анализа защищённости, требования безопасной разработки, а также участвовать в развитии AppSec и DevSecOps-процессов;
• Участвовать в анализе защищённости контейнерных сред и Kubernetes в рамках своей компетенции;
• Участвовать в анализе защищённости LLM-приложений и AI-агентов Банка в рамках своей компетенции;
• Участвовать в мероприятиях Red Team и Purple Team, а также в киберучениях Банка.

• Навыки эксплуатации уязвимостей, разработки PoC, эксплойтов и построения цепочек атак;
• Умение доказать реальное воздействие уязвимости веб-приложения или API, включая возможный доступ к внутренней инфраструктуре, воздействие на пользователей, компрометацию данных или другие значимые последствия;
• Глубокое понимание механизмов безопасности браузера и способов их обхода;
• Понимание безопасности аутентификации и авторизации в API, управления сессиями и токенами, а также способов обхода контроля доступа;
• Опыт ручного анализа исходного кода на наличие уязвимостей, в том числе относящихся к OWASP Top 10, OWASP API Security Top 10 и CWE Top 25, а также понимание причин их возникновения и способов устранения или митигации;
• Опыт практического применения OWASP ASVS, OWASP WSTG и PTES при планировании и проведении анализа защищённости;
• Владение одним из языков программирования на уровне, достаточном для анализа исходного кода, разработки PoC и вспомогательного инструментария: Go, Python, JavaScript/TypeScript, Java, C#, Kotlin, Swift или аналогичным языком;
• Понимание SDLC и процессов работы с уязвимостями: от выявления и триажа до устранения и повторной проверки;
• Опыт работы с SAST, SCA, DAST, Secret Scanning или другими AppSec-инструментами, включая валидацию и триаж находок;
• Опыт разработки правил SAST, сценариев DAST и других автоматизированных проверок безопасности;
• Опыт анализа архитектуры и моделирования угроз с использованием STRIDE, attack trees, abuse cases или аналогичных подходов;
• Умение понятно объяснять разработчикам и QA причины уязвимостей, способы их устранения и проверки исправлений.
• Опыт анализа защищённости мобильных приложений Android и iOS с применением OWASP MASVS и OWASP MASTG.
• Опыт анализа защищённости контейнерных сред и Kubernetes с использованием OWASP Kubernetes Top 10, MITRE ATT&CK Containers Matrix и NSA/CISA Kubernetes Hardening Guide.
• Опыт использования LLM и AI-агентов для Offensive Security, анализа кода и автоматизации задач безопасности.
• Опыт анализа безопасности LLM-приложений и AI-агентов, включая AI Red Teaming.

Будет плюсом:

• Участие в bug bounty, профильных CTF, security research или программах ответственного раскрытия уязвимостей;
• Опыт разработки собственных инструментов безопасности, правил детектирования или open source-проектов;
• Наличие технических статей, исследований, докладов или выступлений на профильных мероприятиях;
• Практические сертификации: BSCP, OSWA, OSWE, CWES, CWEE, OSCP, CPTS или аналогичные.

Что мы предлагаем:

• Официальное трудоустройство в соответствии с Трудовым кодексом РК;
• График работы на выбор: 08:30–17:30 / 09:00–18:00 / 09:30–18:30;

После прохождения испытательного срока:

• Кафетерий льгот на сумму 250 000 тг. в год (медицинское страхование, обучение, спорт, развитие детей, авиа- и ж/д билеты);

Дополнительно:

• Лечебное пособие в размере одного оклада при выходе в отпуск (после 1 года работы, при отпуске от 14 дней).

• Интеграция автоматизированных контролей безопасности в процессы разработки и поставки продуктов;
• Повышение защищённости CI/CD, контейнерных и Kubernetes-сред, инфраструктуры и software supply chain;
• Своевременное автоматизированное выявление уязвимостей, небезопасных зависимостей, секретов и ошибок конфигурации;
• Внедрять, настраивать и сопровождать автоматизированные проверки безопасности в CI/CD, включая SAST, SCA, DAST, Secret Scanning, Container Scanning, IaC Scanning и другие применяемые средства контроля безопасности;
• Настраивать и сопровождать автоматизированные проверки безопасности Kubernetes manifests, Helm charts и контейнерных workloads в CI/CD;
• Выявлять небезопасные конфигурации Kubernetes, включая избыточные привилегии, ошибки RBAC, Service Accounts, Secrets, SecurityContext, Pod Security Standards и Network Policies, а также участвовать в hardening контейнерных workloads;
• Участвовать во внедрении и сопровождении механизмов Policy as Code и admission control с использованием OPA/Gatekeeper, Kyverno или аналогичных решений для автоматизированного применения требований безопасности Kubernetes и инфраструктуры.
• Проводить автоматизированный анализ Infrastructure as Code, включая Terraform, Kubernetes manifests и другие декларативные конфигурации, выявлять небезопасные параметры и контролировать их устранение.
• Участвовать во внедрении и сопровождении средств runtime security контейнерных и Kubernetes-сред, а также автоматизированных контролей, направленных на выявление небезопасного поведения workloads.
• Разрабатывать скрипты, собственные инструменты и интеграции для автоматизации DevSecOps-процессов, взаимодействия с API security-систем, обработки результатов проверок и сокращения ручных операций.
• Участвовать в пилотировании, тестировании и внедрении новых решений и инструментов AppSec/DevSecOps, оценивать возможности их интеграции с CI/CD, Kubernetes и существующими процессами безопасности.

• Понимание принципов DevSecOps, Shift Left и Continuous Security, а также роли автоматизированных контролей безопасности на этапах разработки, сборки, тестирования и поставки программного обеспечения.
• Практический опыт работы с CI/CD и одной или несколькими платформами GitLab CI/CD, Jenkins, GitHub Actions, Azure DevOps или аналогичными.
• Опыт интеграции и сопровождения автоматизированных проверок безопасности в CI/CD, включая SAST, SCA, DAST, Secret Scanning, Container Scanning и IaC Scanning.
• Практический опыт обеспечения безопасности контейнеров, включая Dockerfile, container images, registries, сканирование образов, минимизацию привилегий и выявление небезопасных конфигураций.
• Опыт работы с Kubernetes Security, включая Service Accounts, RBAC, Secrets, SecurityContext, Pod Security Standards, Network Policies, Linux capabilities, seccomp, admission control, анализ Helm charts, hardening контейнерных workloads и применение OPA/Gatekeeper, Kyverno или аналогичных средств контроля.
• Понимание и практический опыт применения Infrastructure as Code и Policy as Code, включая автоматизированный анализ Terraform, Kubernetes manifests и Helm charts на наличие небезопасных конфигураций и нарушений политик безопасности.
• Понимание принципов безопасного управления секретами в CI/CD и инфраструктуре, включая предотвращение хранения паролей, токенов и API-ключей в исходном коде.
• Понимание принципов Software Supply Chain Security и SLSA, включая контроль происхождения и целостности программных артефактов и процессов их сборки.
• Практические навыки работы с Git, Linux, Bash/Python, YAML и JSON на уровне, достаточном для настройки CI/CD, интеграции security-инструментов и автоматизации типовых DevSecOps-задач.

Что мы предлагаем:

• Официальное трудоустройство в соответствии с Трудовым кодексом РК;
• График работы на выбор: 08:30–17:30 / 09:00–18:00 / 09:30–18:30;

После прохождения испытательного срока:

• Кафетерий льгот на сумму 250 000 тг. в год (медицинское страхование, обучение, спорт, развитие детей, авиа- и ж/д билеты);

Дополнительно:

• Лечебное пособие в размере одного оклада при выходе в отпуск (после 1 года работы, при отпуске от 14 дней).