AppSec-инженер

Что мы предлагаем:

• Гибридный график работы 5/2 (2 дня в офисе, остальные удаленно);

• Комфортабельный современный офис в Москве рядом с м. Серпуховская/Павелецкая;

• Официальное трудоустройство в соответствии с ТК РФ с первого дня;

• Корпоративные скидки BestBenefits (800+ магазинов и онлайн-сервисов);

• ДМС после прохождения испытательного срока;

• Корпоративные курсы английского языка.

Чем предстоит заниматься:

• Проводить аудит безопасности сервисов, приложений и новых фич (ReleaseManagement): проверять архитектуру, код, среды (WEB, API), выявлять риски и сопровождать внедрение мер по их устранению.

• Анализировать код на уязвимости с помощью инструментов SSDLC (SAST, DAST, SCA), фильтровать ложные срабатывания и приоритизировать реальные проблемы.

• Формировать рекомендации по безопасной архитектуре в соответствии с лучшими практиками (в т. ч. OWASP), описывать целевую архитектуру и требования к безопасности.

• Внедрять и поддерживать security gates в пайплайнах, участвовать в построении процессов безопасной разработки (SSDLC).

• Вести отчётность по аудитам, заводить и сопровождать задачи в Jira до закрытия и перепроверки, контролировать, чтобы не рос технический долг по безопасности.

• Участвовать во внедрении и сопровождении процессов Secret Management (например, HashiCorp Vault или аналогов).

Наши ожидания:

• Опыт работы в AppSec / безопасной разработке от 2 лет.

• Уверенное знание OWASP Top 10 и CWE Top 25, умение применять эти знания на практике: находить уязвимости и предлагать конкретные меры по их устранению.

• Практический опыт работы с инструментами SSDLC: SAST, DAST, SCA (понимание, как настраивать интеграции в CI/CD, как работать с отчётами и снижать шум).

• Понимание принципов работы современных веб‐приложений и API: REST, SOAP, SOP, CORS, HSTS, CSP, OAuth, JWT.

• Опыт внедрения процессов Secret Management и работы с решениями класса Secret Management (HashiCorp Vault или аналоги).

• Умение взаимодействовать…