Руководитель информационной безопасности в сервис поиска специалистов Профи.ру

О роли:

• Здесь важно сочетать инженерную работу и лидерство: погружаться в технические задачи, выстраивать процессы безопасности и постепенно развивать команду.
• На старте важно разобраться, как сейчас устроена безопасность продуктов и инфраструктуры, определить наиболее существенные риски и договориться с командами о приоритетах. Отдельно предстоит разобраться с новыми рисками вокруг ИИ и выстроить подход к требованиям партнёров и регуляторов.
• Работать предстоит напрямую со мной и в тесной связке с разработкой, инфраструктурой, биллингом и юристами.

Технологии:

• В продуктовой разработке используют React, React Native, TypeScript и PHP. Инфраструктура собственная, приложения и сервисы работают в Kubernetes.
• Для этой роли не нужно программировать на этих языках. Важно уметь разбираться в коде с точки зрения безопасности: читать его, находить потенциальные уязвимости и обсуждать риски с разработчиками.

Что предлагают:

• Влиять на продукт. Безопасность здесь не сводится к проверкам перед релизом. Сможете участвовать в архитектурных и продуктовых решениях на самом старте, особенно там, где речь идёт о платёжных сценариях и интеграциях.
• Совмещать инженерную работу и лидерство. Широкий круг задач: от AppSec и инфраструктуры до требований партнёров и регуляторов. Предстоит самостоятельно выбирать приоритеты и решать, куда направлять усилия. Можно глубоко погружаться в технические задачи и при этом влиять на то, как устроена безопасность в компании.
• Постепенно расширять масштаб роли. По мере развития направления появится возможность нанимать людей, развивать команду и брать на себя больше управленческой ответственности.

Чем предстоит заниматься:

В первые три месяца:

• Погрузиться в архитектуру продуктов, инфраструктуру, платёжные сценарии и ключевые интеграции Профи.ру.
• Оценить основные риски и вместе с командами определить, какие из них нужно закрывать в первую очередь.
• Сформировать план развития информационной безопасности на год: какие практики стоит усиливать в первую очередь, где достаточно изменить процесс, а где нужны технические решения.

В ближайшие полгода-год:

• Участвовать в ревью архитектуры и кода новых функций и интеграций, находить уязвимости и риски в бизнес-логике до выхода изменений в продакшн.
• Развивать практики безопасной разработки и встраивать нужные проверки в CI/CD так, чтобы они помогали разработке, а не превращались в формальный барьер.
• Вместе с инфраструктурной командой усиливать безопасность Kubernetes, сети и управления доступами.
• Проводить и организовывать пентесты, оценивать найденные уязвимости и помогать командам расставлять приоритеты исправлений.
• Продумать подход к рискам, связанным с ИИ: разобраться в новых сценариях использования и определить разумные требования к ним.
• Развивать процессы, необходимые для работы с требованиями партнёров и регуляторов, вместе с юристами и другими командами.
• По мере роста задач определять, какая экспертиза нужна внутри направления, участвовать в найме и постепенно формировать команду.

Что нужно, чтобы присоединиться к проекту:

• Сильный практический опыт в AppSec или Product Security. Умеете проводить ревью архитектуры и кода, находить уязвимости и участвовать в пентестах. Не только выстраиваете процессы, но и самостоятельно погружаетесь в технические задачи.
• Глубокое понимание безопасности веб-приложений и их бизнес-логики. Умеете находить уязвимости, оценивать реальные сценарии атак и определять приоритеты исправлений.
• Опыт работы с безопасностью приложений и кодом. Значительная часть бэкенда написана на PHP, поэтому важно уметь читать такой код и разбираться в характерных для него рисках. Писать продуктовый код на PHP не потребуется.
• Опыт развития процессов безопасности в продуктовой компании. Знаете, как встроить проверки и требования безопасности в разработку, чтобы они работали на практике.
• Умение договариваться с разными командами. Предстоит объяснять риски разработчикам, инфраструктуре, юристам и партнёрам, учитывать их ограничения и вместе находить решения.
• Умение работать с неопределённостью. Можете самостоятельно расставлять приоритеты, выбирать подходы и принимать решения, когда нет готового процесса или однозначного ответа.

Отклик на вакансию через Телеграм (по кнопке "Откликнуться").