[Архив] Инженер по безопасной разработке (AppSec)

Центр биометрических технологий — технологический лидер на рынке биометрических решений и один из ключевых участников отрасли информационной безопасности. Мы проектируем и развиваем высоконагруженные, отказоустойчивые государственные сервисы, в которых безопасность архитектуры и кода — главный приоритет. В связи с расширением направления безопасной разработки открываем новую позицию.

Чем предстоит заниматься

Вы войдёте в команду AppSec/DevSecOps и будете непосредственно влиять на защищённость выпускаемых продуктов. Основной акцент — выстраивание и автоматизация процессов безопасной разработки (Secure SDLC), а также анализ защищённости приложений.

Анализ кода и архитектуры

• проводить статический анализ (SAST) — как ручное код-ревью, так и с применением автоматизированных инструментов.
• разбирать результаты сканирования, фильтровать ложные срабатывания и формировать для разработчиков задачи по устранению уязвимостей.
• участвовать в проектировании и согласовании архитектуры приложений с позиции ИБ: выполнять Threat Modeling (STRIDE, OWASP), выявлять архитектурные слабости и аргументированно отстаивать свои рекомендации перед командами разработки.
• проводить динамический анализ приложений (DAST) с помощью OWASP ZAP.

Автоматизация и CI/CD

• внедрять и настраивать инструменты композиционного анализа (SCA/OSA), управлять SBOM.
• встраивать все этапы проверок безопасности в CI/CD-пайплайны GitLab, писать скрипты автоматизации на Python, Go или Bash.
• разрабатывать и адаптировать правила для статического анализа (CodeQL, Semgrep/Opengrep).

Процессы

• формировать и поддерживать процесс управления секретами.
• готовить внутренние нормативные документы и стандарты безопасной разработки.
• консультировать IT-команды по написанию безопасного кода и устранению уязвимостей.
• валидировать отчёты, поступающие через программы Bug Bounty, и сопровождать их обработку.

Позиция подчиняется руководителю направления безопасной разработки и архитектуры приложений. На старте подчинённых нет, однако по мере наращивания экспертизы предусмотрен рост до позиции Старшего инженера.

Требования

• высшее образование в области информационной безопасности.
• опыт работы инженером AppSec или DevSecOps от 2 лет.
• практический опыт использования SAST-инструментов (CodeQL, Semgrep, SonarQube, AppScreener, Checkmarx) и SCA (Dependency-Track, Dependency-Check, CodeScoring, AppSec.Track), понимание концепции SBOM.
• опыт работы с DAST (OWASP ZAP или аналоги).
• владение двумя и более языками программирования на уровне, достаточном для проведения Code Review и разбора ложных срабатываний (приоритет: Java/Kotlin, Go, Python, JavaScript/TypeScript).
• опыт работы с решениями класса Secret Management (HashiCorp Vault), опыт выстраивания процессов Secret Management.
• глубокое понимание уязвимостей OWASP Top 10 (2021/2025), причин их возникновения и способов устранения.
• понимание принципов безопасности Linux (модели доступа, SELinux, Capabilities, cgroups).
• опыт написания скриптов для автоматизации и встраивания проверок в GitLab CI/CD.

Будет преимуществом

• отраслевые сертификаты (OSCP, OSWE, GWAPT, CISSP и др.).
• опыт обеспечения безопасности контейнерных сред и оркестрации (Docker, Kubernetes).
• навыки ручного тестирования защищённости (пентест) и проведения фаззинга.
• знание и понимание применимости eBPF для задач безопасности.

Условия

• официальный доход — оклад + квартальный и годовой бонус; условия с успешным кандидатом готовы обсуждать индивидуально.
• ДМС со стоматологией и международная страховка.
• кафетерий льгот (компенсация ОСАГО, спортивного инвентаря, ДМС близким родственникам и многое другое).
• гибридный график работы.
• офис расположен в центре, в шаговой доступности от ст. м. Новокузнецкая.
• сильная команда полного цикла.
• возможность профессионального и карьерного развития.