Team Lead SRE-команды

Ведущий российский фармацевтический производитель, в связи с развитием направления информационной безопасности, приглашает в свою команду Инженера по безопасности приложений / DevSecOps.

Обязанности:

• Выстраивать и развивать направление Application Security и практики безопасной разработки практически с нуля, интегрируя требования ИБ в жизненный цикл создания и сопровождения приложений;
• Формировать единый подход к безопасности веб-приложений, API, мобильных решений и интеграций с внутренними системами;
• Участвовать в создании централизованного технологического контура разработки и DevSecOps: Git-платформа, CI/CD, хранилища артефактов и контейнеров, типовые пайплайны и другие необходимые компоненты;
• Встраивать автоматизированные проверки безопасности в процессы CI/CD и развивать security-gates перед выпуском изменений;
• Настраивать и сопровождать инструменты SAST, SCA, DAST, Secret Scanning, проверки контейнеров и IaC, обеспечивая их использование командами разработки;
• Разрабатывать унифицированные шаблоны пайплайнов и механизмы подключения проверок, чтобы команды могли использовать готовые безопасные практики без индивидуальной настройки каждого проекта;
• Анализировать результаты сканирований, подтверждать реальные уязвимости, выявлять ложные срабатывания и совместно с разработчиками определять приоритеты и способы устранения;
• Участвовать в оценке архитектуры новых и модернизируемых информационных систем с позиции информационной безопасности, в том числе проводить анализ изменений и отдельных компонентов приложений;
• Формировать требования и технические стандарты по безопасной разработке для разработчиков и DevOps-команд;
• Участвовать в моделировании угроз и применении принципов secure-by-design для критичных систем и значимых изменений;
• Контролировать устранение критических и высоких уязвимостей, отслеживать соблюдение установленных сроков их устранения;
• Участвовать в оценке безопасности решений, создаваемых внешними командами разработки, а также используемых сторонних компонентов;
• Развивать практики безопасного управления секретами, токенами, ключами и техническими учетными данными в процессе разработки;
• Участвовать в расследовании инцидентов, связанных с приложениями, API и цепочкой разработки;
• Формировать и отслеживать показатели эффективности AppSec: охват репозиториев проверками, количество и сроки устранения уязвимостей, соблюдение SLA, исключения и накопленный технический долг;
• Самостоятельно доводить технические инициативы от выбора подхода и инструмента до его внедрения и формирования работающего процесса.

• От 3 лет опыта в Application Security, DevSecOps, DevOps, информационной безопасности разработки или смежном техническом направлении;

• Практический опыт обеспечения безопасности приложений и понимание основных принципов Secure SDLC;

• Знание типовых уязвимостей веб-приложений и API, понимание OWASP Top 10 и OWASP API Security Top 10;

• Практический опыт работы с инструментами автоматизированного анализа безопасности кода, зависимостей, приложений, секретов, контейнеров или IaC. Важно наличие реального опыта настройки и применения таких инструментов, а не только формирования требований к ним;

• Хорошее понимание CI/CD и опыт самостоятельной интеграции инструментов безопасности в пайплайны;

• Опыт работы с Git-платформами (GitLab, GitHub, Bitbucket или аналогами);

• Понимание принципов построения централизованной платформы разработки, работы репозиториев артефактов и контейнеров;

• Понимание Docker и современных подходов к сборке и доставке приложений; опыт работы с Kubernetes, Helm, Terraform будет полезен;

• Практический опыт работы хотя бы с одним open-source инструментом в области Application Security / DevSecOps и готовность самостоятельно разбираться и внедрять новые решения;

• Умение самостоятельно анализировать результаты сканирования, отделять реальные уязвимости от ложных срабатываний и определять приоритеты исправлений;

• Понимание механизмов аутентификации и авторизации, управлениями, OAuth 2.0 / OIDC и принципов безопасности API;

• Способность обсуждать технические риски и способы устранения уязвимостей непосредственно с разработчиками;

• Понимание принципов threat modeling и подхода secure-by-design;

• Готовность самостоятельно развивать новое направление: от выбора инструментария и формирования стандартов до внедрения решений и выстраивания процессов;

• Навыки программирования или уверенного чтения кода на распространённых языках (Python, Java, JavaScript/TypeScript, C#, Go и др.) будут преимуществом.

• Работа в ведущей российской фармацевтической компании;
• Роль с высокой степенью самостоятельности и возможностью фактически сформировать направление Application Security / DevSecOps внутри компании;
• Работа над созданием единого контура безопасной разработки и внедрением DevSecOps-практик;
• Официальное трудоустройство и стабильная работа в крупной производственной компании;
• Гибридный формат работы: 4 дня в офисе, 1 день удалённо;
• ДМС и дополнительные корпоративные программы страхования.

Сейчас мы ищем в нашу команду опытного SRE-инженера.

Чем предстоит заниматься:

• Иметь дело с high-load;

• Развивать и поддерживать инфраструктуру и сервисы с упором на надежность, производительность и отказоустойчивость;

• Настраивать и улучшать мониторинг, алертинг и observability-практики;

• Участвовать в формировании и контроле SLO/SLA;

• Развивать практики incident management;

• Работать с Kubernetes;

• Автоматизировать инфраструктуру с помощью Terraform и других IaC-инструментов;

• Решать задачи по производительности и доступности приложений, сетевых сервисов и баз данных.

Что для нас важно:

• Опыт работы от 3–5 лет в роли SRE или DevOps;

• Глубокое знание Linux и сетевых протоколов;

• Опыт работы с observability инструментами (Prometheus/VM, Jaeger, Tempo, OTLP, Grafana, ELK, Loki и др.);

• Уверенные навыки работы с Terraform и Kubernetes;

• Практический опыт настройки баз данных и работы с ними;

• Понимание CI/CD-процессов и инструментов;

• Навыки автоматизации с помощью Python, Go или Bash.

Почему это интересно:

• Современный стек – Terraform, ArgoCD, Docker, Kubernetes, Istio, Prometheus/VM, Jaeger/Tempo, Opensearch/VictoriaLogs, Grafana;

• Даем широкую зону ответственности и возможность влиять на архитектурные и продуктовые решения. А ещё рады обсуждать твои инициативы и реализовывать их;

• Уникальная культура – мы сохранили дух стартапа, при этом уже отстроили зрелые процессы;

• Формируем измеримые цели всей командой и не просто выполняем их "для галочки", а замеряем эффективность и общее влияние нашей работы на бизнес;

• Работа в командах сильных специалистов, где ценится глубина экспертизы и инженерное мышление;

• Команды слушают и слышат друг друга, выступая в роли партнеров, а не исполнителей.

Что мы предлагаем:

• Удаленка из любой точки мира или уютный офис в Ташкенте;

• У нас можно расти в инженерном или управленческом треке, а еще выстроена регулярная оценка перформанса;

• Платим на уровне топовых компаний российского рынка;

• Обучение и развитие — мы поддерживаем как внутри компании, так и за ее пределами (митапы, конференции, профессиональное обучение, публикации). А еще помогаем развивать личный бренд;

• База — комьюнити профессионалов с желанием делать круто, а приятные бонусы — ДМС в привязке к вашей локации, обучение и другие плюшки.