Архитектор процессов информационной безопасности

ИТ-группа N3.Tech создает цифровые решения на уровне сложных, масштабных и критически важных систем для государства и крупного бизнеса. Мы объединяем инженерию, отраслевой консалтинг и продуктовый подход, чтобы брать на себя полную ответственность за результат — от идеи до работающего решения, влияющего на миллионы людей.

У нас работают команды, которые не боятся сложных задач: высоконагруженные платформы, государственные информационные системы, транспорт, импортонезависимые корпоративные решения. Мы ищем людей, которым важно делать осмысленные проекты, видеть реальный эффект своей работы и расти вместе с сильной технологической командой и амбициозными клиентами.

Мы в поисках инженера по безопасности разработки ПО.

Мы вам доверим задачи:

• Участвовать в обеспечении безопасности ПО на всех этапах жизненного цикла разработки.

• Проводить анализ безопасности архитектуры и Threat Modeling разрабатываемых решений, выявлять потенциальные угрозы и формировать требования по их снижению.

• Проводить SAST, SCA и DAST-проверки, анализировать полученные результаты, подтверждать выявленные уязвимости и отрабатывать False Positive.

• Проводить ручной Security Code Review критичных компонентов ПО, включая анализ механизмов аутентификации, авторизации, обработки данных и других чувствительных участков кода.

• Интегрировать автоматизированные проверки безопасности в CI/CD и участвовать в настройке Security Gates, определяющих условия допуска ПО к сборке и выпуску.

• Контролировать безопасность сторонних компонентов и зависимостей, выявлять уязвимые компоненты, анализировать транзитивные зависимости, участвовать в формировании и актуализации SBOM.

• Консультировать команды разработки по вопросам безопасного программирования, участвовать в разработке Secure Coding Guidelines и повышении уровня Security Awareness разработчиков.

• Участвовать в реагировании на критические уязвимости и инциденты безопасности ПО, включая анализ возможности эксплуатации, Root Cause Analysis и проверку срочных исправлений.

• Вести реестр уязвимостей, результаты проверок, исключения, принятые риски и доказательства выполнения требований безопасности.

• Анализировать эффективность существующих контролей и предлагать улучшения процессов безопасной разработки

Что необходимо знать и уметь:

• Принципы принципы безопасной разработки ПО (Secure SDLC).

• Типовые уязвимости веб-приложений и API, механизмы их возникновения и способы предотвращения.

• Умение выявлять небезопасные конструкции и практики программирования, понимать логику приложения и оценивать потенциальную возможность эксплуатации уязвимости.

• SAST, SCA и DAST, умение настраивать и применять средства автоматизированного анализа, интерпретировать результаты, подтверждать уязвимости и выявлять False Positive.

• Умеете управлять уязвимостями, оценивать критичность и применимость уязвимостей, определять приоритеты устранения, контролировать исправление и проводить повторную проверку.

• Threat Modeling и анализ архитектуры, понимание границы доверия, потоки данных, внешние интерфейсы и потенциальные векторы атак; уметь выявлять угрозы и формировать требования безопасности.

• Безопасность компонентов и зависимостей, понимание рисков open-source и сторонних компонентов, прямых и транзитивных зависимостей, уметь работать с CVE/CWE и SBOM.

• Безопасность CI/CD, принципы интеграции security-контролей в процессы разработки, включая Security Gates, проверки Merge/Pull Request и контроль безопасности программных артефактов.

• Основы безопасности приложений и инфраструктуры, принципы работы Linux, Git, Docker, Kubernetes и IaC в той мере, которая необходима для анализа рисков безопасности приложений.

• Методики и стандарты AppSec: OWASP ASVS/SAMM, CWE, CVE/CVSS, NIST SSDF и применимые требования безопасной разработки ПО.

• Основы безопасного программирования, принципы аутентификации и авторизации, управления сессиями, обработки пользовательских данных, криптографии.

• Российские требования к безопасной разработке ПО, применимые требования ФСТЭК России и ГОСТ Р 56939-2024 в части безопасности разработки.

Мы предлагаем комфортные условия для решения сложных задач:

• Аккредитованная ИТ-компания

• Полное соблюдение ТК РФ

• ДМС, полис путешественника и страхование от несчастных случаев

• 4 дополнительных выходных в год по болезни

• Гибкое начало рабочего дня с 09:00 до 11:00

Главное достоинство N3.Tech — это люди, которые здесь работают. У нас развита корпоративная культура, поддержка и обмен опытом.

Присоединяйтесь к нашей команде и проявляйте себя, создавая цифровое будущее с нами

iiko - ведущая компания на рынке IT-решений для ресторанов. Проект автоматизации включает в себя весь спектр решений, необходимых кафе и ресторанам любой специализации.

Компания занимается разработкой множества новых и интересных проектов, которые меняют ресторанный рынок и улучшают пользовательский опыт.

Каждый день через iiko обрабатываются заказы миллионов гостей, которые получают отличные эмоции благодаря современным технологиям, обеспечивающим быструю и качественную работу ресторанов.

Мы в поиске сильного инженера ИБ на основную задачу:
организовать управляемый доступ к нашему production.

Технологии:
flow discovery, zone model и первые NGFW/ACL matrices; - VPN/MFA → bastion/access proxy → Linux; - запрет обхода bastion на сети и host firewall; - Linux SSH/sudo/auditd baseline; - FreeIPA/SSSD/HBAC pilot; - JIT и break-glass; - IaC/configuration management и drift pilot.

Основные направления деятельности:

• Формировать и сопровождать политики NGFW: межсетевое экранирование, IPS, anti-bot/C2, контроль приложений и входящего/исходящего трафика, между ДЦ и межсегментные правила;
• Развивать безопасный удаленный и административный доступ: MFA/VPN, bastion/access proxy, запрет прямого SSH, JIT и break-glass;
• Внедрять централизованную Linux identity-модель на базе FreeIPA/LDAP/Kerberos/SSSD;
• Разрабатывать Linux security baseline: `sshd`, PAM, sudo, auditd, host firewall, централизованное логирование, hardening management interfaces в виде требований для команд эксплуатации(SRE)
• Описывать bastion, security policies и hardening как код с использованием Terraform/Ansible/Packer или аналогов;
• Настраивать drift/compliance checks, разбирать отклонения и определять безопасные сценарии auto-remediation/redeploy;
• Готовить технические требования, runbook и acceptance tests, по которым SRE выполняет rollout и эксплуатацию;
• Участвовать в инвентаризации внешнего периметра, сетевом поиске уязвимостей и расследовании инфраструктурных инцидентов.

Требования:

• Высшее образование в области информационной безопасности либо профессиональная переподготовка в области ИБ;
• Опыт работы в инфраструктурной или сетевой безопасности от 3 лет;
• Обязателен опыт работы в компаниях с собственной продуктовой разработкой и предоставляющих сервисы для клиентов;
• Уверенное знание Linux: SSH, PAM, sudo, auditd/journald, systemd, `nftables`/`firewalld`, TLS/PKI, диагностика сети;
• Практический опыт с NGFW хотя бы одного enterprise-класса: security policies, NAT/VPN, IPS, app control, logging и troubleshooting;
• Понимание TCP/IP, routing, VLAN, VRF, IPsec, DNS, load balancing и принципов межсегментного default deny;
• Опыт с bastion/jump-host, access proxy или PAM/JIT-решением;
• Понимание LDAP, Kerberos, SSSD и централизованного управления Linux-учетными записями;
• Опыт обеспечения доступа к production с использованием VPN;
• Опыт автоматизации через Ansible и Git; знание Terraform/Packer или аналогов;
• Умение проектировать изменение так, чтобы оно было отказоустойчивым, тестируемым и не нарушало production SLA;
• Навык писать короткие технические требования, матрицы доступа и runbook, а также обсуждать решения с SRE без подмены ее функций.

Будет большим плюсом:

• Опыт работы в высоконагруженном Linux-продукте или дата-центровой инфраструктуре.

Мы предлагаем:

• Сотрудничество по ТК РФ с первого дня;

• 100% белую ЗП с учётом пожеланий;
• Возможность начинать рабочий день в любое время до 11.00 по Мск;
• Компенсацию занятий спортом;
• Учебу онлайн в школе английского с коллегами;
• Оплату медицинской страховки;
• Магазин эксклюзивного мерча.

Задачи, которые необходимо решать:

• Участие в проектах в роли ГИП/архитектора,
• проектирование и разработка проектной документации,
• пресейл, подготовка и проведение пилотных проектов,
• проведение обследований,
• внедрение и пуско-наладочные работы.

Какие знания, навыки и опыт необходимы для реализации задач (важно не знание всех требований, а желание быстро освоить и развиваться в данной области):

• Знание сетевых технологий на уровне CCNP (Enterprise / Security),

• опыт проектирования и внедрения различных продуктов сетевой безопасности (сети передачи данных),

• опыт работы с решениями классов NGFW, IDS/IPS, СКЗИ СПД,

• опыт ведения проектной деятельности в роли ГИП (внедрения не менее 4х решений в рамках одного проекта),

• навыки работы с ОС Linux.
  Преимуществом будет:

• опыт выполнения проектов в роли ГИП/Архитектора,

• управленческий опыт,

• наличие сертификатов CISSP, CISA, CCIE,

• опыт разработки документации по ГОСТ 34.

#AngaraTeam предлагает своим сотрудникам:

Забота о достатке:

• Достойный уровень оплаты труда, понятная система премирования;
• Релокационный бонус при переезде в Москву.

Забота о времени:

• Гибридный график работы и гибкое начало рабочего дня - мы ценим результат, а не формальность;
• Дополнительные дни отпуска к значимым событиям и за стаж работы в Компании.

Забота о развитии:

• Плавный, комфортный онбординг при поддержке опытного наставника;
• Работаем и учимся друг у друга в увлеченной команде профессионалов;
• Обучаемся новым практикам и необходимым технологиям в партнерстве с ведущими учебными центрами, вендорами и тп.;
• Поддерживаем желание участвовать и выступать в профильных конференциях и профессиональных сообществах;
• Предоставляем ресурсы для профессионального развития и возможности для карьерного роста в компании;
• Скидки на обучение английскому языку;
• Доступ к электронной библиотеке и большой выбор книг с профессиональной литературой в офисе.

Забота о комфорте:

• Эргономичное и комфортное место работы, в офисе зоны для пинг-понга, переговоров, звонков, массажное кресло;
• Кухня для перекусов с кофе, чаем, сладостями и не только;
• Насыщенная корпоративная жизнь: тимбилдинги, вкуснодни, мероприятия и подарки для детей;
• Бесплатное посещение Московского зоопарка для наших сотрудников и их семей.

Забота о здоровье:

• Бесплатная медицинская страховка (ДМС) со стоматологией после ИС;
• 21 день 100% оплачиваемых дней отсутствия по болезни.

Откликайся, будем рады видеть тебя в нашей команде!