Аналитик по информационной безопасности
Компания АО «НПО «Эшелон» (является аккредитованной IT-компанией) специализируется на оказании услуг по сертификации, аттестации и лицензировании, а также разрабатывает собственные инструменты анализа кода и тестирования безопасности прогр…
Компания АО «НПО «Эшелон» (является аккредитованной IT-компанией) специализируется на оказании услуг по сертификации, аттестации и лицензировании, а также разрабатывает собственные инструменты анализа кода и тестирования безопасности программного обеспечения.
Основные направления Центра оценки соответствия и тестирования:
- Сертификация по требованиям ФСТЭК России.
- Оценка соответствия по требованиям ОУД в рамках проверки банковских приложений (требования ГОСТ ИСО/МЭК 15408, Профиля защиты ЦБ, положения Банка России).
- Проведение тематических исследований по требованиям ФСБ России.
- Проведение оценки по требованиям стандарта платформы Цифрового Рубля.
- Участие в разработке стандартов в области защиты информации.
- Внедрение процессов безопасной разработки по требованиям ГОСТ Р 56939-2016, ГОСТ Р 56939-2024.
Обязанности:
- Развитие инструмента анализа безопасности программного обеспечения собственной разработки, его функциональных возможностей и пользовательских сценариев.
- Сбор, анализ и формализация требований заказчиков и пользователей, их перевод в функциональные требования к продукту.
- Анализ нормативных требований и их учёт при развитии продукта.
- Формирование и приоритизация бэклога, подготовка пользовательских историй, сценариев использования и критериев приёмки.
- Подготовка технических заданий и спецификаций для команды разработки, включая описание интеграций и программных интерфейсов (API).
- Взаимодействие с разработчиками, тестировщиками и дизайнером на всех этапах, от постановки задачи до приёмки реализованной функциональной возможности.
- Проработка пользовательских сценариев и прототипов интерфейса совместно с дизайнером.
- Участие в планировании релизов и формировании дорожной карты развития продукта.
- Анализ рынка и решений конкурентов, отслеживание тенденций в области анализа безопасности ПО.
- Сбор и анализ обратной связи от заказчиков, участие во встречах с заказчиками и проведение демонстраций продукта.
- Участие в подготовке пользовательской и эксплуатационной документации, а также документации для сертификации продукта.
Наши ожидания:
- Высшее/неоконченное техническое образование.
- Опыт работы системным или бизнес-аналитиком либо аналитиком продукта в сфере разработки программного обеспечения.
- Опыт сбора, формализации и согласования требований, подготовки технических заданий и спецификаций.
- Владение нотациями моделирования и практиками описания требований.
- Понимание жизненного цикла разработки ПО, опыт работы с системами управления задачами.
- Понимание принципов работы клиент-серверных и веб-приложений, REST API, форматов обмена данными.
- Базовое понимание информационной безопасности и типовых уязвимостей ПО.
- Умение вести переговоры с заказчиками и доносить требования до команды разработки.
- Хорошие аналитические навыки и грамотная письменная речь.
Будет плюсом:
- Опыт работы с инструментами статического, композиционного или динамического анализа кода.
- Знание современных требований по безопасности ПО, включая ГОСТ Р 56939-2024, ГОСТ Р 71207-2024.
- Опыт участия в управлении продуктом.
- Знание английского языка на уровне понимания зарубежных стандартов и документации.
Мы предлагаем:
- Интересную работу в дружелюбном молодом коллективе с адекватным менеджментом.
- Участие в интересных проектах и задачах, связанных с информационной безопасностью, включая развитие собственного продукта в области анализа безопасности ПО.
- Прозрачную и понятную финансовую мотивацию (оклад + премиальная часть от выполненного проекта), а также возможность карьерного роста.
- Перспективу роста до руководителя продукта с ответственностью за его развитие и дорожную карту.
- Возможность участия в проведении обучающих мероприятий и консультаций для заказчиков (с дополнительной оплатой).
- Индивидуальный график работы (8:00-17:00; 9:00-18:00; 10:00-19:00).
- Официальное трудоустройство в соответствии с ТК РФ (оплачиваемый отпуск, больничный).
- Оплату мобильной связи.
- Частичную компенсацию ДМС и абонемента в фитнес-клуб.
- Корпоративную пенсионную программу (дополнительные перечисления взносов работодателем в НПФ).
- Возможность внутреннего обучения, повышения квалификации в учебном центре компании.
- Возможность профессионального роста и самореализации, введение в рабочий процесс новых подходов и методик.
Место работы: м. Электрозаводская / м. Преображенская площадь.
Похожие вакансии Кибербезопасность
Мы рады предложить вам принять участие в конкурсе на вакантную позицию «Специалист по информационной безопасности».
Локация: п. Вольгинский, Владимирская область (корпоративный транспорт из г. Покров, п. Вольгинский, г. Петушки, г. Орехово-Зуево).
Обязанности:
-
Техническая поддержка 3-й линии по вопросам информационной безопасности;
-
Участие в разработке и корректировке корпоративной политики в области ИБ и защиты персональных данных;
-
Настройка систем мониторинга сетевой инфраструктуры и централизованного сбора логов;
-
Разработка и ведение организационно-распорядительной документации по ИБ (положения, регламенты, инструкции, приказы);
-
Анализ информационных рисков, подготовка отчётов и мероприятий по их снижению;
-
Выявление угроз информационной безопасности и каналов утечки данных;
-
Аудит и мониторинг сети передачи данных, включая беспроводную сеть, на предмет уязвимостей;
-
Установка, настройка и сопровождение средств защиты информации (СЗИ, межсетевые экраны, антивирусы, SIEM, DLP);
-
Мониторинг обновлений ОС, ПО и сетевого оборудования, их тестирование и внедрение;
-
Участие в проектах внедрения новых систем ИБ, составление технических заданий;
-
Реагирование на инциденты ИБ: локализация, расследование, устранение последствий;
-
Управление процессами идентификации, аутентификации и разграничения доступа пользователей;
-
Настройка и администрирование сетевых средств защиты (NGFW, прокси, IDS/IPS, DLP);
-
Участие в расследовании атак, блокировке вредоносного трафика, информировании руководства об угрозах.
Требования:
-
Знание модели OSI и стека TCP/IP, принципов работы проводных и беспроводных сетей;
-
Понимание работы серверного и сетевого оборудования, коммутации и маршрутизации;
-
Знание сетевых протоколов (TCP/IP, VLAN, DNS, DHCP), маршрутизации (OSPF/BGP), технологий VPN (IPsec/SSL, MPLS, DMVPN);
-
Опыт администрирования сетей, резервного копирования и восстановления данных;
-
Знание служб каталогов Active Directory, LDAPS, SAMBA;
-
Опыт работы с системами мониторинга (Zabbix), сбора логов (Grafana Loki, Graylog, Nagios LS), SIEM-системами;
-
Опыт работы с сетевым оборудованием Cisco, Eltex, Huawei, UserGate и др.;
-
Опыт проведения аудитов безопасности и пентестов;
-
Знание и опыт работы с ПАК VIPNet Coordinator HW, опыт настройки систем MFA;
-
Знание законодательства РФ в области информационной безопасности.
Ищем специалиста по информационной безопасности, который будет отвечать за безопасность разработки и цифровых продуктов компании. Основной фокус роли — развитие практик Application Security и DevSecOps, выявление и устранение уязвимостей, интеграция проверок безопасности в процессы разработки и CI/CD.
Необходимо будет тесно взаимодействовать с командами разработки, DevOps и архитектуры, помогая создавать защищённые приложения и сервисы без избыточного усложнения процессов разработки.
Чем предстоит заниматься
-
Развивать и внедрять практики безопасной разработки (Secure SDLC / DevSecOps), формировать стандарты и технические требования информационной безопасности.
-
Участвовать в проектировании и оценке безопасности архитектуры веб-приложений, микросервисов, API и интеграционных решений.
-
Проводить Threat Modeling, выявлять потенциальные угрозы и оценивать риски информационной безопасности на этапах проектирования и разработки.
-
Совместно с командами DevOps внедрять и развивать автоматизированные проверки безопасности в CI/CD: SAST, DAST, SCA, Secret Scanning, Container Security.
-
Анализировать защищённость цифровых продуктов компании: интернет-магазина, мобильных приложений, личных кабинетов, клиентских сервисов и интеграций с внешними системами.
-
Выявлять уязвимости веб-приложений, API и бизнес-логики, оценивать их критичность и определять приоритеты устранения с учётом технических и бизнес-рисков.
-
Организовывать и сопровождать процесс управления уязвимостями: от выявления и регистрации до контроля устранения и проведения повторных проверок.
-
Консультировать разработчиков по вопросам безопасного написания кода, устранения уязвимостей, применения механизмов аутентификации, авторизации и управления доступом.
-
Участвовать в организации тестирования на проникновение, анализировать результаты проверок и контролировать выполнение рекомендаций.
-
Оценивать риски безопасности при запуске новых продуктов, внедрении функциональности и подключении внешних сервисов.
-
Участвовать в расследовании инцидентов, связанных с безопасностью приложений и цифровых сервисов.
-
Развивать взаимодействие между командами ИБ, разработки, DevOps, QA и архитектуры, участвовать в технических обсуждениях и согласовании решений по безопасности.
Что потребуется для успешной работы
-
Опыт работы в информационной безопасности от 3 лет, предпочтительно в направлениях Application Security, DevSecOps или безопасности веб-приложений.
-
Опыт взаимодействия с командами разработки, DevOps и архитекторами при решении задач информационной безопасности.
-
Хорошее понимание жизненного цикла разработки ПО (SDLC), процессов CI/CD и принципов безопасной разработки (Secure SDLC).
-
Знание OWASP Top 10, OWASP API Security Top 10, основных уязвимостей веб-приложений, API и бизнес-логики.
-
Понимание методологий Threat Modeling и подходов к оценке рисков безопасности архитектурных решений.
-
Практические знания технологий и инструментов анализа безопасности: SAST, DAST, SCA, Secret Scanning.
-
Понимание принципов работы REST API, микросервисной архитектуры, Docker и Kubernetes.
-
Знание механизмов аутентификации и авторизации: OAuth 2.0, OpenID Connect, JWT, RBAC.
-
Опыт анализа, классификации и приоритизации уязвимостей, подготовки рекомендаций по их устранению.
-
Умение формулировать технические требования по информационной безопасности и аргументированно обсуждать риски с командами разработки.
Дополнительным преимуществом станут:
-
опыт самостоятельного внедрения DevSecOps-практик и автоматизации проверок безопасности в CI/CD
-
опыт работы с Burp Suite Professional, OWASP ZAP, Semgrep, SonarQube, Snyk или аналогичными инструментами
-
знание Terraform, Kubernetes Security и принципов защиты облачной инфраструктуры
-
опыт обеспечения безопасности высоконагруженных e-commerce-платформ
-
опыт анализа безопасности мобильных приложений iOS и Android
-
навыки автоматизации задач информационной безопасности с использованием Python или Bash
-
знание требований PCI DSS в части безопасности платёжной инфраструктуры
-
знание российского законодательства о персональных данных и применимых нормативных требований
HireSeeker собирает вакансии со всех площадок и присылает только релевантные. Бесплатно.