Инженер по безопасной разработке (AppSec) в команду разработки операционной системы
Мы создаем единую систему цифровой маркировки и прослеживания товаров в России и странах ЕАЭС. Наша система позволяет снизить уровень контрафакта и гарантировать подлинность товаров, производимых в стране или ввозимых в нее.
↑ Вакансия с автоподнятиемО компании:
Мы создаем единую систему цифровой маркировки и прослеживания товаров в России и странах ЕАЭС. Наша система позволяет снизить уровень контрафакта и гарантировать подлинность товаров, производимых в стране или ввозимых в нее.
Честный Знак - одна из самых высоконагруженных платформ, которой нет аналогов:
— микросервисная архитектура на Kubernetes с Istio в нашей собственной инфраструктуре;
— петабайты живых данных, с которыми круглосуточно работают наши сервисы и клиенты через API;
— миллиарды транзакций в день и десятки тысяч запросов в секунду;
— аналитика в реальном времени на потоках событий и масштабная батчевая аналитика по ночам;
— мобильное приложение с 27+ миллионов установок;
— десятки релизов в продакшн каждый день, feature flags, инфраструктура как код.
Под капотом — Kafka, Cassandra, Spark, Airflow, Iceberg, ClickHouse, GitLab CI/CD, Helm, Prometheus, Grafana.
Мы не боимся сложных задач и запускаем в продакшн смелые инженерные идеи!
О команде:
Команда выстраивает современные SSDLC процессы, используя передовые технологии на базе open source и enterprise решений. В настоящий момент ищем кандидата в команду разработки ядра системы с необходимым минимумом системных модулей и библиотек для запуска lxc контейнеров, containerd рантайма
Чем предстоит заниматься:
-
ИБ-ревью разрабатываемых решений, в части требований функций безопасности ОС\контейнеризации, которые декларирует регулятор ФСТЭК;
-
Триаж уязвимостей SSDLC, митигация и контроль исправления.
-
Используя make и gcc собрать операционную систему на базе ядра linux с необходимым минимумом системных модулей и библиотек для запуска lxc контейнеров, containerd рантайма.
-
Собрать из исходников и запустить компоненты реализующие функции безопасности в операционной системе по имеющемуся перечню
-
Опыт работы как AppSec от 3 лет;
-
Опыт программирования на C++,Go;
-
Опыт работы с системами автоматической сборки (gcc,make,go);
-
Опыт работы с инструментами классов: SAST\SCA\Fuzzing
-
Опыт работы с инструментальным стеком разработки: Jira, Gitlab, Harbor, Nexus, Rancher, Kubernetes, LXC, Vault, FreeIpa, Keycloak;
-
Опыт сборки kernel linux и пакетов из исходников
-
Экспертные знания семейства операционных систем Linux
-
Глубокое понимание механизмов контейнеризации в Linux
-
Знание основных аспектов обеспечения безопасности web-приложений (OWASP10,SANS25), а также best practices SSDLC и Kubernetes.
Возможности для развития
- Участие в митапах и конференциях: делимся знаниями и учимся у других.
- Внутренние корпоративные тренинги.
- Buddy-поддержка: путеводитель в корпоративную жизнь компании.
Заботимся о сотрудниках
- Здоровье: ДМС (включая стоматологию) после испытательного срока, 100% оплата больничных (до 14 дней в год), полис путешественника, корпоративные психологи.
- Материальная помощь в сложных жизненных ситуациях.
- Кафетерий льгот: не только на спорт и обучение, но и ИТ-сервисы, расширение ДМС для семьи.
Удобство и комфорт
- Оформление по ТК РФ в аккредитованной ИТ-компании.
- Работай удаленно из любой точки России, в гибридном формате или из офиса в центре Москвы/Петербурга (рядом с метро).
- Гибкое начало рабочего дня.
- Выдаем рабочую технику: ноутбук, монитор, гарнитура — всё для продуктивной работы.
Жизнь в компании
- Открытая культура общения.
- Спорт: футбол, волейбол, йога — вариантов много, выбирай или создай свое комьюнити!
- Воркшопы, праздники для детей, книжный клуб — скучно не будет.
- Стильный мерч, который хочется носить.
- Реферальная программа: приводи друзей и получай бонусы.
Если ты хочешь расти профессионально, работать с классными людьми и при этом чувствовать заботу — ждем в нашей команде!
Похожие вакансии Кибербезопасность
Ищем специалиста по информационной безопасности, который будет отвечать за безопасность разработки и цифровых продуктов компании. Основной фокус роли — развитие практик Application Security и DevSecOps, выявление и устранение уязвимостей, интеграция проверок безопасности в процессы разработки и CI/CD.
Необходимо будет тесно взаимодействовать с командами разработки, DevOps и архитектуры, помогая создавать защищённые приложения и сервисы без избыточного усложнения процессов разработки.
Чем предстоит заниматься
-
Развивать и внедрять практики безопасной разработки (Secure SDLC / DevSecOps), формировать стандарты и технические требования информационной безопасности.
-
Участвовать в проектировании и оценке безопасности архитектуры веб-приложений, микросервисов, API и интеграционных решений.
-
Проводить Threat Modeling, выявлять потенциальные угрозы и оценивать риски информационной безопасности на этапах проектирования и разработки.
-
Совместно с командами DevOps внедрять и развивать автоматизированные проверки безопасности в CI/CD: SAST, DAST, SCA, Secret Scanning, Container Security.
-
Анализировать защищённость цифровых продуктов компании: интернет-магазина, мобильных приложений, личных кабинетов, клиентских сервисов и интеграций с внешними системами.
-
Выявлять уязвимости веб-приложений, API и бизнес-логики, оценивать их критичность и определять приоритеты устранения с учётом технических и бизнес-рисков.
-
Организовывать и сопровождать процесс управления уязвимостями: от выявления и регистрации до контроля устранения и проведения повторных проверок.
-
Консультировать разработчиков по вопросам безопасного написания кода, устранения уязвимостей, применения механизмов аутентификации, авторизации и управления доступом.
-
Участвовать в организации тестирования на проникновение, анализировать результаты проверок и контролировать выполнение рекомендаций.
-
Оценивать риски безопасности при запуске новых продуктов, внедрении функциональности и подключении внешних сервисов.
-
Участвовать в расследовании инцидентов, связанных с безопасностью приложений и цифровых сервисов.
-
Развивать взаимодействие между командами ИБ, разработки, DevOps, QA и архитектуры, участвовать в технических обсуждениях и согласовании решений по безопасности.
Что потребуется для успешной работы
-
Опыт работы в информационной безопасности от 3 лет, предпочтительно в направлениях Application Security, DevSecOps или безопасности веб-приложений.
-
Опыт взаимодействия с командами разработки, DevOps и архитекторами при решении задач информационной безопасности.
-
Хорошее понимание жизненного цикла разработки ПО (SDLC), процессов CI/CD и принципов безопасной разработки (Secure SDLC).
-
Знание OWASP Top 10, OWASP API Security Top 10, основных уязвимостей веб-приложений, API и бизнес-логики.
-
Понимание методологий Threat Modeling и подходов к оценке рисков безопасности архитектурных решений.
-
Практические знания технологий и инструментов анализа безопасности: SAST, DAST, SCA, Secret Scanning.
-
Понимание принципов работы REST API, микросервисной архитектуры, Docker и Kubernetes.
-
Знание механизмов аутентификации и авторизации: OAuth 2.0, OpenID Connect, JWT, RBAC.
-
Опыт анализа, классификации и приоритизации уязвимостей, подготовки рекомендаций по их устранению.
-
Умение формулировать технические требования по информационной безопасности и аргументированно обсуждать риски с командами разработки.
Дополнительным преимуществом станут:
-
опыт самостоятельного внедрения DevSecOps-практик и автоматизации проверок безопасности в CI/CD
-
опыт работы с Burp Suite Professional, OWASP ZAP, Semgrep, SonarQube, Snyk или аналогичными инструментами
-
знание Terraform, Kubernetes Security и принципов защиты облачной инфраструктуры
-
опыт обеспечения безопасности высоконагруженных e-commerce-платформ
-
опыт анализа безопасности мобильных приложений iOS и Android
-
навыки автоматизации задач информационной безопасности с использованием Python или Bash
-
знание требований PCI DSS в части безопасности платёжной инфраструктуры
-
знание российского законодательства о персональных данных и применимых нормативных требований
Обязанности:
- Анализ отчетов сканеров уязвимостей (внешние/внутренние).
- Анализ отчетов Bug Bounty-программы.
- Приоритизация найденных уязвимостей.
- Организация и контроль процесса устранения найденных уязвимостей.
Требования:
- Опыт работы со сканерами уязвимостей (Qualys, Nessus, MaxPatrol VM и т. п.).
- Знание методологии оценок уязвимостей (CVSS, CPE, CVE и т. д.).
- Опыт анализа и приоритизации результатов сканирования.
- Понимание жизненного цикла уязвимостей.
- Навыки работы с трекерами задач.
Условия:
- График работы 5/2, офис находится в шаговой доступности от м. Тургеневская, Сретенский бульвар. Режим работы обсуждается (гибридный, удалённый).
- Корпоративная электронная библиотека.
- Страхование при выезде за рубеж.
- Корпоративная социальная и материальная поддержка в определённых жизненных ситуациях.
- 10 рабочих дней 100%-оплачиваемого листа нетрудоспособности в год.
- Корпоративные скидки и специальные акции от компаний-партнёров.
- Льготные условия на продукты Банка.
- Корпоративные мероприятия для сотрудников и их детей.
HireSeeker собирает вакансии со всех площадок и присылает только релевантные. Бесплатно.