Название: Архитектор по безопасности приложений
Компания: Capital.com
Местоположение: Варшава, Мазовецкое воеводство, Польша / София, Болгария / Лимассол, Кипр / гибрид
Обязанности
Архитектура и стандарты безопасности
- Разрабатывать и поддерживать эталонные архитектуры "secure-by-default" для общих паттернов: веб-приложения, мобильные бэкенды, микросервисы, публичные и партнерские API, а также сервисы, управляемые событиями.
- Отвечать за ключевые решения по архитектуре безопасности приложений: аутентификация и авторизация, управление сессиями, безопасность API, управление секретами, изоляция мультиарендных сред, а также логирование и аудит безопасности.
- Руководить редизайном аутентификации пользователей и внедрением функций безопасности в продукт.
- Разрабатывать и внедрять стандарты безопасности приложений, руководства по безопасному кодированию, стандарты конфигурации, повторно используемые проектные паттерны и записи решений по архитектуре (ADR), которые инженеры смогут применять без участия эксперта по безопасности.
- Определять внутренние политики для безопасного использования инструментов с поддержкой ИИ и "vibe-coding" (быстрого кодирования).
- Определять требования к безопасности приобретаемых технологий и руководить их безопасной интеграцией.
Моделирование угроз и обзор дизайна
- Создать и управлять операционной моделью моделирования угроз, охватывающей область применения, периодичность, шаблоны и процедуры проведения, пропорционально уровню риска каждого продукта.
- Отвечать за этап обзора безопасности в процессе утверждения новых продуктов, охватывающий архитектурный дизайн и конфигурацию.
- Руководить обзорами дизайна для инициатив с высоким уровнем воздействия: новые продукты, новые потоки аутентификации, платежные потоки и потоки с конфиденциальными данными, миграции платформ и крупные рефакторинги.
- Выявлять риски на уровне дизайна и согласовывать практические, приоритезированные меры по их снижению с инженерными командами.
Безопасный SDLC, DevSecOps и цепочка поставок
- Оценивать текущее состояние безопасности приложений, предлагать улучшения и руководить стратегией безопасного SDLC совместно с руководством инженерного отдела и отдела безопасности.
- Контролировать процессы AppSec и управлять стратегией инструментов (SAST, DAST, IAST, SCA и сканирование секретов), включая процесс передачи результатов инженерным командам.
- Внедрять средства контроля безопасности в качестве "guardrails" (защитных механизмов) в CI/CD через Policy-as-Code (политики как код), с согласованными путями принудительного исполнения и эскалации.
- Сотрудничать с DevOps для организации управления репозиториями и предотвращения атак на цепочку поставок, охватывая безопасное использование компонентов, управление зависимостями, SBOM (Software Bill of Materials - спецификация программного обеспечения) и целостность сборки.
- Повышать безопасность наших внутренних инструментов.
Требования
Опыт
- Более 8 лет в сфере технологий, включая более 5 лет на выделенной должности по безопасности приложений или продуктов, с сильным инженерным бэкграундом и практическим опытом в области архитектуры или дизайна.
- Подтвержденный опыт создания, документирования и внедрения стандартов безопасности, паттернов и лучших практик в крупной инженерной организации.
- Глубокий, подтвержденный опыт моделирования угроз для различных продуктовых портфелей.
Технические навыки
- Опыт проектирования и внедрения безопасного SDLC в облачной среде. Требуется отличное знание AWS, приветствуется опыт работы с GCP или другими облачными платформами.
- Отличное знание стандартов OWASP (Top 10, ASVS) и практик DevSecOps, включая инструменты AppSec (SAST, DAST, IAST, SCA, сканирование секретов) и управление уязвимостями.
- Глубокое понимание современных распределенных архитектур: микросервисы, REST и GraphQL API, системы, управляемые событиями, OAuth2/OIDC и контейнеризированные нагрузки (Docker, Kubernetes). Вы должны уметь рассуждать об их границах доверия, поверхности атаки и потоках данных между веб- и мобильными клиентами.
Взаимодействие
- Исключительная способность влиять на инженерные команды и достигать согласия без прямого полномочия, а также предоставлять информацию как инженерам, так и руководителям.
- Прагматизм и стратегическое мышление: вы находите баланс между идеальным и достижимым, защищаете пропускную способность доставки и превращаете долгосрочное направление в действенный план.
- Четкая письменная коммуникация посредством диаграмм, ADR и паттернов, а также подтвержденный опыт наставничества и межфункционального сотрудничества.
Желательно
- Опыт работы в финтехе, трейдинге, брокерском бизнесе или другой регулируемой среде.
- Знание релевантных регуляторных и комплаенс-драйверов: операционная устойчивость FCA и CySEC, GDPR и PCI DSS.
- Безопасность цепочки поставок программного обеспечения, включая SBOM и целостность артефактов и сборки.
- Опыт обеспечения безопасности продуктовых функций с интеграцией ИИ или использование ИИ для масштабирования программы AppSec.
- Опыт создания или управления программой Security Champions (чемпионов по безопасности).
- CSSLP, GIAC GDSA или практическая сертификация по наступательной безопасности. Сертификаты ценятся, но вторичны по отношению к подтвержденному опыту.
Что вы получите взамен
- Вы присоединитесь к компании, которая заботится о балансе между работой и личной жизнью.
- Ежегодный бонус, основанный на цикле обзора производительности.
- Ще policy "Annual Leave Policy" (политика ежегодного отпуска).
- Медицинское страхование и пенсионный фонд с дополнительными пакетами льгот в зависимости от местоположения.
- Гибридная модель работы (3 дня в нашем современном офисе и 2 дня полностью удаленно).
- Комплексная "Workation Policy" (политика работы в отпуске) с возможностью 30 дополнительных удаленных дней.
- Возможность взять два дополнительных оплачиваемых выходных дня в год для волонтерской деятельности.
