SRE инженер (АС "Финансовая доставка") (Python)

ISERV - аккредитованная IT-компания с двадцатилетней историей. С 2001 года мы разрабатываем лидирующие продукты для автоматизации процессов ТЭК РФ, а также сложные веб-сервисы и мобильные приложения.

Задачи:

• Проведение оценки безопасности приложений и кода (code review) для выявления уязвимостей;
• Разработка и внедрение политик безопасности и стандартов для разработки ПО;
• Участие в архитектурных и проектных обсуждениях для обеспечения безопасности новых решений;
• Реализация и настройка инструментов для динамического и статического анализа безопасности;
• Обучение команды разработчиков лучшим практикам безопасности;
• Реагирование на инциденты безопасности и участие в расследованиях;
• Внедрение и поддержка процесса SSDLC, DevSecOps.

• Высшее образование в области ИТ, информационной безопасности или смежных областях;
• Опыт работы в области безопасности приложений;
• Знание и опыт работы с инструментами SAST, DAST и IAST (например, Solar AppScreener, PT AI, и т.д.);
• Понимание и опыт реализации циклов SSDLC, DevSecOps;
• Опыт программирования на одном или нескольких языках (Python, Java, JavaScript, C# и др.);
• Глубокие знания OWASP Top 10 и других стандартов безопасности;
• Опыт работы с системами контроля версий (Git) и CI/CD инструментами (GitLab CI/CD).

Будет плюсом:

• Опыт работы в Application Security;
• Сертификаты в области кибербезопасности (CEH, OSCP, OSWE и др.);
• Знание и опыт работы с контейнерными технологиями и оркестрацией (Docker, Kubernetes);
• Наличие репортов о найденных уязвимостях в программах Bug Bounty или зарегистрированных CVE;

• Возможность профессионально развиваться и расти. В нашей компании обеспечиваются неограниченные перспективы роста для работоспособных и целеустремленных людей. Мы предоставляем возможность принимать участие в различных конференциях, внешних и внутренних тренингах, тимбилдингах и корпоративных мероприятиях.
• Отличные условия работы. Официальное трудоустройство. Достойная «белая» зарплата (назначается по результатам собеседования, в зависимости от опыта и квалификации), своевременная оплата отпусков и больничных. Дружелюбная рабочая атмосфера в профессиональной команде.
• Забота и поддержка. Мы заботимся не только о профессиональном росте своих сотрудников, но и об их здоровье. Компания предоставляет программу ДМС, абонементы в бассейн, фитнес и занятия игровыми видами спорта (волейбол, футбол, баскетбол).
• Современный офис для комфортной работы. Ваше рабочее место будет в новом офисе с видом на залив. На каждом этаже есть уютные кухни с чаем, кофе и всем необходимым для вашего отдыха.

Чем предстоит заниматься:
-Встраивать проверки безопасности в CI/CD: SAST, SCA, DAST, поиск секретов, сканирование контейнеров и IaC
-Строить и сопровождать безопасный конвейер сборки и поставки ПО
-Обеспечивать безопасность инфраструктуры разработки: репозиториев, систем сборки, хранилищ артефактов, сред тестирования
-Внедрять управление секретами и контроль доступа в инфраструктуре разработки
-Обеспечивать безопасность цепочки поставок: SBOM, контроль сторонних компонентов, подпись артефактов
-Автоматизировать сбор и обработку результатов проверок, интегрировать их с системами управления уязвимостями
-Обеспечивать быструю сборку и выпуск исправлений при обнаружении критичных уязвимостей
-Реализовывать требования ИБ, сформированные AppSec, в инфраструктуре и пайплайнах
-Участвовать в построении DevSecOps-методологии в компании

Мы ждём:
-Опыт построения и сопровождения CI/CD (GitLab CI, Jenkins, TeamCity или аналоги)
-Опыт интеграции средств анализа в пайплайны: PT AI, AppChecker, CodeScoring, Semgrep, Trivy, Gitleaks, OWASP ZAP или аналоги
-Опыт работы с Docker и Kubernetes и понимание их безопасности
-Опыт работы с IaC (Terraform, Ansible) и проверки конфигураций на безопасность
-Опыт работы с системами управления секретами (HashiCorp Vault или аналоги)
-Уверенное владение скриптовыми языками (Python, Bash) для автоматизации
-Понимание основных типов уязвимостей (OWASP Top 10, CWE Top 25)
-Опыт в DevOps или ИБ от 3 лет, из них не менее 1 года в задачах DevSecOps
-Умение работать в команде и договариваться с разработчиками

Будет плюсом:

-Знание ГОСТ Р 56939-2024 в части требований к инфраструктуре и конвейеру разработки
-Опыт работы с российскими средствами защиты контейнеров (Luntry, PT Container Security, Kaspersky Container Security) и платформами вроде Deckhouse
-Опыт работы с Dependency-Track, DefectDojo или аналогами
-Опыт работы с Nexus или Artifactory
-Высшее образование в области ИБ или ИТ

Что мы обеспечим:

• Гибкое начало рабочего дня с возможностью выбора удобного формата работы
• Современную технику для работы
• Возможность расширить свою экспертизу, используя современный стек технологий
• Сессии профессионального развития, конференции (посещения или самостоятельные выступления), курсы и тренинги