ENJOY Gaming — поставщик программного обеспечения, специализирующийся на создании высококачественных цифровых развлекательных продуктов, включая игровые автоматы (Slots) и Live Games. Наша команда объединяет опытных профессионалов в области разработки игр, продуктов и дизайна, движимых страстью к инновациям и качеству.
В ENJOY Gaming мы ценим ответственность, совершенство и инициативу. Эти принципы формируют наш подход к работе, сотрудничеству и созданию продуктов.
Присоединяйтесь к нам и станьте частью нашего инновационного пути в мире гейминга!
Мы ищем квалифицированного инженера по безопасности приложений, который станет техническим стражем наших игр и платформ. Если у вас есть мышление атакующего, но вы знаете, как строить и защищать вместе с командами разработчиков, эта роль для вас. На этой позиции вы не просто будете отправлять отчеты командам или руководству. Вы будете глубоко погружаться в веб- и десктопные приложения, выявлять уязвимости на уровне игр и тесно сотрудничать с нашими архитекторами, студиями, разработчиками слотов и платформ для создания более надежных систем.
Что мы ищем:
- Более 5 лет опыта в области безопасности приложений, наступательной безопасности или программной инженерии с фокусом на безопасности, с сильным практическим опытом в веб/API
- Глубокое знание безопасного ревью кода на TypeScript/Node.js (NestJS); умение читать и ревьюить код на C#/.NET
- Глубокое знание специфичных для Node.js классов уязвимостей: prototype pollution, ReDoS, SSRF, ORM/query injection (TypeORM/Prisma/Mongoose), mass assignment и DTO validation bypass, unsafe deserialization, npm supply-chain risks
- Ручное тестирование веб-приложений и API сверх возможностей сканеров: broken access control (IDOR/BOLA), ошибки бизнес-логики, race conditions и проблемы идемпотентности в финансовых транзакциях (кошельки, ставки, бонусы, выплаты)
- Твердое понимание аутентификации и авторизации: OAuth 2.0/OIDC, SAML, JWT, управление сессиями, подписанные сторонние колбэки (HMAC), распространенные ошибки криптографии
- Моделирование угроз (STRIDE или аналогичное) и ревью безопасного дизайна новых функций перед реализацией
- Практический опыт работы с SAST/SCA/DAST/secrets scanning в CI (например, Semgrep/CodeQL, Trivy/Dependabot, Burp Suite/Acunetix, Gitleaks): настройка, пользовательские правила, уменьшение ложных срабатываний
- Понимание безопасности в событийно-ориентированных архитектурах (Kafka, Redis/BullMQ, Pub/Sub): границы доверия, повторное воспроизведение/отравление сообщений, межсервисная авторизация
- Умение писать и внедрять исправления производственного качества на TypeScript/NestJS во время инцидентов, а также проверять исправления разработчиков посредством ревью diff и повторного тестирования
- Эффективное использование AI/LLM-инструментов для ревью кода и поиска уязвимостей, а также критическая оценка их результатов
- Преобразование найденных проблем в четкие, приоритизированные, действенные рекомендации для разработчиков
Желательно:
- Сертификаты CRTO, OSCP или OSWE или аналогичные
- Знание облачных платформ (GCP/AWS)
- Понимание CI/CD пайплайнов
- Практический опыт работы с Trivy, Nessus, Acunetix или Wiz
- Опыт работы в iGaming или другой регулируемой отрасли
Что вы будете делать:
- Владеть и поддерживать наши пайплайны безопасности приложений: SCA (Github/Trivy), DAST (Acunetix, Burp) и SAST (Semgrep, CodeQL)
- Триангулировать результаты работы этих инструментов и добиваться их устранения
- Проводить тестирование на проникновение новых функций платформы, новых внутренних приложений, а также новых игровых автоматов и Live Games
- Проводить базовые мероприятия red team, включая проверку утечек учетных данных и аудит внешней поверхности атаки
- Проводить ревью сложных потоков аутентификации с различными сторонними поставщиками на предмет криптографических и других проблем безопасности
- Ревьюировать/триангулировать код приложений на предмет проблем безопасности (85% NestJS / 15% .NET)
- Нести ответственность за безопасность существующего кода и приложений
- Выступать в качестве эксперта по безопасности приложений во время реагирования на инциденты и быть готовым самостоятельно выпускать горячие исправления при необходимости
- Готовить наши квартальные отчеты о сканировании уязвимостей SAST/DAST для заинтересованных сторон/регуляторов и участвовать в аудиторских встречах
- Отвечать за области безопасного кодирования и безопасности приложений нашего ISMS
- Регулярно встречаться с командами разработчиков, узнавать о предстоящих функциях на ранней стадии и консультировать по безопасному дизайну
Что мы предлагаем:
- Конкурентоспособная зарплата в EUR: с ежегодным пересмотром результатов для признания вашего роста
- Удаленная работа и гибкий график: полная удаленная работа (8 часов + 1 час обед) с обязательной доступностью с 9:30 до 17:30 CET для сотрудничества с командой
- Комплексные льготы: включая медицинскую страховку, психологическую поддержку, а также клубы для польского и словацкого языков
- Щедрый оплачиваемый отпуск: 20 рабочих дней оплачиваемого отпуска, плюс 10 дополнительных оплачиваемых дней, 10 оплачиваемых дней по болезни и все национальные праздники вашей страны
- Поддержка профессионального развития: возмещение расходов на курсы, тренинги и сертификации
- Перки для благополучия: поддержка языковых курсов, занятий спортом, массажа или коучинга
Обратите внимание, что обратная связь по вашей заявке будет предоставлена в течение двух недель, если будет принято положительное решение относительно вашей кандидатуры.
Я даю свое согласие в соответствии с Законом о защите персональных данных от 1 июня 2010 года № 2297, действующим с 1 января 2011 года, на обработку информации, классифицируемой как персональные данные.
