Senior DevSecOps Engineer (Infrastructure & Cloud Security)

Старший DevSecOps инженер (Инфраструктура и облачная безопасность)

Обязанности

• Определение и обеспечение соблюдения архитектуры безопасности для AWS и Azure: структура организации и landing-zone, политики управления службами (Service Control Policies) и Azure Policy, сетевая сегментация и частные соединения, шифрование и управление ключами (AWS KMS, Azure Key Vault), базовые настройки журналирования и мониторинга.
• Ответственность за периметр и edge: WAF и защита от DDoS-атак, VPN и Zero-Trust доступ, DNS, управление сертификатами и раскрытием информации для всего, что доступно из интернета.
• Управление уязвимостями от начала до конца: обнаружение активов, сканирование, приоритизация по возможности эксплуатации и влиянию на бизнес, согласование SLA по устранению с командой инфраструктуры.
• Встраивание безопасности в новую инфраструктуру с самого начала: моделирование угроз и анализ изменений архитектуры, определение безопасных шаблонов для повторного использования другими инженерами, и умение говорить "нет" с предложением рабочего альтернативного решения, когда это необходимо.
• Ответственность за Active Directory: управление уровнями доступа, гигиена привилегированных групп, политики групп (Group Policy) и базовые настройки Conditional Access.
• Проектирование и управление моделью группового доступа: принцип наименьших привилегий для AWS IAM, Azure RBAC, Kubernetes RBAC, баз данных, сетевых устройств и SaaS; единый вход (single sign-on) и устойчивая к фишингу многофакторная аутентификация (MFA) везде; управление привилегированным доступом с предоставлением временного повышения прав для администраторов; протестированные процедуры аварийного доступа (break-glass).
• Ответственность за конвейер безопасности телеметрии в SIEM: логи входа и аудита AWS CloudTrail, AD и Entra; EDR; логи аудита Kubernetes; логи WAF, VPN, сети и приложений. Определение того, что собирается, как долго и по какой цене.
• Отношение к безопасности как к коду: модули Terraform с безопасными настройками по умолчанию; политики как код (policy-as-code) (Open Policy Agent, AWS Config rules, Azure Policy), применяемые в конвейерах и во время выполнения; обнаружение дрейфа и автоматическое исправление, где это безопасно.
• Ответственность за безопасность API для внутренних и внешних API (REST, WebSocket, FIX и потоковые интерфейсы рыночных данных): шаблоны аутентификации и авторизации, управление токенами и ключами, ограничение скорости и защита от злоупотреблений, правила шлюза и WAF, проверка схем, журналирование событий, связанных с безопасностью.
• Автоматизация сбора доказательств и непрерывного мониторинга контролей, чтобы аудиты ISO 27001 и SOC 2 становились побочным продуктом обычной деятельности.
• Техническое владение технологическими средствами контроля Приложения А стандарта ISO/IEC 27001:2022 (A.8) и операционным контролем стандартов SOC 2 (критерии безопасности и доступности). Поддержка внутренних аудитов, надзорных аудитов и полевых работ SOC 2 Type II.
• Сопоставление технических средств контроля с DORA: фреймворк управления ИКТ-рисками, ежегодная программа тестирования операционной устойчивости цифровых систем (оценка уязвимостей, тесты на проникновение, сценарные тесты, готовность к тестированию на проникновение под руководством угроз) и технические входные данные для реестра сторонних поставщиков ИКТ.
• Проведение обзоров безопасности сторонних поставщиков ИКТ и облачных сервисов. Поддержание документации по общей ответственности и потокам данных.

Требования

• Опыт. Более 6 лет практического опыта в инфраструктурной, облачной или инженерной безопасности, из которых более 3 лет с основной ответственностью за безопасность, в регулируемой среде финансовых услуг — брокерских, торговых, платежных, банковских или криптосервисов.
• AWS и Azure в продакшене. Безопасность сложных, многоаккаунтных / многоподписных, гибридных сред на обеих платформах: IAM и RBAC, сети и частные соединения, KMS и Key Vault, журналирование и нативные средства обнаружения, landing zones и применение политик. Вы проектировали инфраструктуру, а не только рецензировали ее.
• Active Directory. Глубокие практические знания AD — уровни доступа, Group Policy, Conditional Access, гибридная идентификация, распространенные пути атак и способы их закрытия — а также проектирование корпоративных IAM и PAM и управление правами доступа.
• Обнаружение и реагирование. Вы создавали и настраивали правила обнаружения SIEM и EDR, отвечали за качество оповещений и управляли инцидентами безопасности от начала до конца под давлением времени. Вы понимаете, как работает Центр операций безопасности (SOC) изнутри — а также то, что представляет собой отчет SOC 2.
• Автоматизация. Terraform (или эквивалент IaC), ворота безопасности CI/CD, безопасность Kubernetes и контейнеров, политики как код (policy-as-code) и уверенное написание скриптов на Python, Bash и PowerShell. Вы достаточно хорошо понимаете API, чтобы обеспечить их безопасность и автоматизировать работу с ними.
• Инфраструктура криптоактивов. Практический опыт защиты систем управления кошельками или ключами, бирж или каналов криптоплатежей — подписание с использованием HSM или MPC, разделение горячего/холодного хранения, мониторинг потока транзакций.

Условия

• Надежность: официальное трудоустройство с первого дня, премии, ежегодный обзор сотрудника (пересмотр зарплаты или премия, обратная связь по результатам работы)
• Стабильность: наши клиенты находятся в разных странах, поэтому мы готовы к любым изменениям в работе любой страны
• Развитие: множество проектов и продуктов, что означает повышение экспертизы в работе с различными технологиями или даже переход на совершенно новые для вас технологии внутри компании
• Активная корпоративная жизнь: мы участвуем в тематических конференциях и форумах в нашей крутой сфере бизнеса, корпоративные вечеринки в лучших ресторанах города с участием звезд и т.д.
• Комфорт: Офисы находятся в разных странах. Вы можете работать из любой точки мира