DevSecOps Lead

В Компании PIM Solutions https://pimsolutions.ru открыта вакансия DevSecOps Lead

Раньше у нас был десяток инстансов и тройка железок. Сегодня это три облака, пара десятков Kubernetes-кластеров, 400+ виртуальных машин, 300+ репозиториев и десятки проектов на PHP, Scala, C# и Python, с фронтендом на Vue и React. PCI DSS стал частью повседневной работы, а к нему добавился ГОСТ Р 57580.

Чем предстоит заниматься

• Стратегия и процессы. Выстроить DevSecOps-направление: роадмап, приоритеты и работающие практики. Перестроить SDLC так, чтобы безопасность закладывалась уже на постановке задачи: моделирование угроз, security review, проверки в пайплайне, контроль перед продом.

• Сканирование на всех уровнях. SAST, SCA, DAST, образы, IaC и инфраструктура для всех наших языков. Делать это общими шаблонами GitLab CI на 300+ репозиториев, а не 300 самописными вариантами, и так, чтобы разработчики не мечтали всё отключить.

• Управление уязвимостями от обнаружения до закрытия, с приоритетами, а не отчётом на 300 страниц.

• Безопасный Kubernetes. RBAC, сетевые политики, admission-политики, образы только из доверенных реестров, одинаково во всех кластерах.

• WAF с нуля перед публичными сервисами: выбрать решение и настроить правила под наши приложения, не блокируя легитимных клиентов.

• Облака и секреты. Единые правила для Google Cloud, Yandex Cloud и Selectel. Секреты только в Vault, а не в репозиториях и переменных окружения «на время».

• Данные и платформы. Доступы в Data Mesh, безопасные настройки по умолчанию для ZeroCode-платформы.

• Аудиты PCI DSS и ГОСТ Р 57580. Поддерживать контур, собирать доказательства, закрывать замечания, чтобы аудит проверял то, что мы и так делаем каждый день, а не превращался в аврал.

• Процедуры ИБ (доступы, изменения, инциденты, уязвимости): написать и внедрить так, чтобы их выполняли, а не доставали к аудиту.

• Культура безопасности. Короткие регулярные обучения, понятные памятки, secure coding с разбором OWASP Top 10 на примерах из…