DevSecOps/AppSec Lead

г. Алматы

Ищем DevSecOps/AppSec Lead, который поможет выстроить полноценный SSDLC-процесс: от анализа требований и архитектуры до автоматизированных проверок безопасности в CI/CD, quality gates, ревью кода и внедрения современных инструментов AppSec. Также в задачи роли входит формирование AppSec-команды и ее встраивание в процессы разработки, ревью и сопровождения критичных изменений.

Основные задачи

• Выстроить процессы SSDLC.
• Внедрить SAST и DAST в пайплайн разработки. При необходимости рассмотреть более продвинутые подходы - IAST/RASP.
• Внедрить SCA, в том числе с использованием уже приобретенного модуля SonarQube.
• Обеспечить настройку инструментов: SonarQube, quality gates и других средств контроля качества и безопасности кода.
• Собрать команду AppSec-инженеров и встроить ее в процесс ревью.
• Внедрить AppSec-анализ на этапе формирования задач в рамках подхода shift left.
• Внедрить локальные LLM-модели в пайплайн разработки на практически применимом уровне.

Основные требования

• Опыт в AppSec, DevSecOps или Application Security от 3 лет.
• Понимание SSDLC и практик безопасной разработки.
• Опыт внедрения SAST, SCA, DAST, IAST или аналогичных инструментов.
• Практический опыт работы с SonarQube или другим стат анализатором, на уровне написания правил.
• Понимание CI/CD-пайплайнов GitLab CI.
• Опыт настройки quality gates, security gates и правил анализа кода.
• Понимание OWASP Top 10, ASVS, CWE, CVE и CVSS.
• Умение разбирать результаты сканеров и отличать реальные риски от false positive.
• Опыт взаимодействия с командами разработки.
• Умение писать понятные регламенты, чек-листы и инструкции.

Будет плюсом

• Опыт построения AppSec-команды с нуля.
• Опыт работы с локальными LLM: Ollama, vLLM, llama.cpp, Open WebUI, Code LLM, агентные инструменты.
• Понимание рисков LLM: prompt injection, утечки данных, supply chain risks, генерация небезопасного кода.
• Опыт внедрения RASP/IAST-решений.
• Опыт построения метрик AppSec и DevSecOps.

Резюме можно направить на электронную почту: контакт рекрутера Тема письма: DevSecOps