Должность: Старший инженер по безопасности приложений
Компания: Capital.com
Местоположение: Варшава, Мазовецкое воеводство, Польша / София, Болгария / Лимассол, Кипр / гибрид
Обязанности:
Архитектура безопасности и моделирование угроз:
- Руководить обзорами архитектуры безопасности и моделированием угроз для новых и существующих систем, используя инструменты ИИ для ускорения, повышения согласованности и масштабируемости обзоров между командами
- Выступать в качестве множителя силы безопасности, влияя на стандарты, шаблоны и ограничители, которые позволяют командам работать быстро и безопасно
Автоматизация безопасности и инструментарий:
- Разрабатывать, создавать и автоматизировать масштабируемые процессы безопасности, которые команды инженеров могут использовать самостоятельно, охватывая безопасное проектирование, моделирование угроз, тестирование и рабочие процессы по устранению уязвимостей
- Интегрировать и автоматизировать проверки безопасности в SDLC и CI/CD конвейеры (SAST, DAST, SCA, секреты и сканирование IaC), настроенные для сильного сигнала и низкого трения
- Владеть и развивать инструменты безопасности, такие как DefectDojo и платформы SAST, DAST и SCA, максимизируя автоматизацию, покрытие и интеграцию
- Применять инструменты на основе ИИ и LLM для обзора архитектуры, моделирования угроз, обзора кода и классификации уязвимостей, а также помогать определять, как команда безопасно использует эти инструменты
Тестирование безопасности и управление уязвимостями:
- Проводить и контролировать оценки безопасности веб- и мобильных приложений, API и облачной инфраструктуры, включая ручное тестирование и разработку PoC
- Запускать сканирование уязвимостей внутренней инфраструктуры и внешнего периметра, затем анализировать результаты, определять меры по устранению и отслеживать проблемы до их закрытия
- Поддерживать и классифицировать программу Bug Bounty и внешние отчеты об уязвимостях, автоматизируя классификацию, где это возможно
- Участвовать и помогать руководить красными командами и учениями по наступательной безопасности
Расширение возможностей:
- Способствовать обмену знаниями по безопасному развитию, наставничеству инженеров и проведению обучения для команд разработки и QA
Требования:
Опыт:
- 5+ лет опыта в области безопасности приложений или продуктов, или эквивалентная глубина знаний, с подтвержденным опытом работы на старшем или штатном уровне
- Демонстрируемый опыт руководства обзорами архитектуры безопасности и моделированием угроз (например, STRIDE, деревья атак, анализ потоков данных) в нескольких командах или продуктах
- Доказанная способность автоматизировать и масштабировать процессы безопасности путем создания инструментария, интеграций и рабочих процессов самообслуживания, которые сокращают ручной труд
Технические навыки:
- Сильные практические навыки тестирования безопасности, включая обзор кода и оценку безопасности веб-приложений, мобильных приложений и API, а также способность классифицировать и проверять внешние отчеты об уязвимостях и заявки Bug Bounty
- Сильные навыки разработки программного обеспечения на одном из языков (например, Python, Go, JavaScript), с возможностью создавать автоматизацию, а не просто скрипты
- Глубокое понимание OWASP Top Ten, безопасного проектирования и лучших практик безопасного кодирования
- Опыт работы с платформами SAST, DAST, SCA и управления уязвимостями, а также их интеграции в CI/CD
- Глубокое понимание современных архитектур приложений: REST API, микросервисов, облачных систем и контейнеров
- Практический опыт применения инструментов ИИ и LLM в работе по обеспечению безопасности, или явный энтузиазм и способность к этому
Сотрудничество:
- Отличные коммуникативные и влиятельные навыки: вы можете объяснять концепции безопасности техническим и нетехническим заинтересованным сторонам и инициировать изменения без прямой власти
- Самостоятельный человек, который любит решать сложные задачи, создавать рычаги с помощью автоматизации, наставлять других и укреплять культуру безопасности
Желательно:
- Опыт защиты AI harness: укрепление LLM и конвейеров агентов, промптов, интеграций инструментов и MCP против инъекций промптов, утечки данных и небезопасных действий агентов
- Опыт защиты Kubernetes, включая укрепление кластера, RBAC, сетевые политики, контроль допуска, изоляцию рабочих нагрузок, а также безопасность образов и цепочек поставок
- Опыт защиты инфраструктуры AWS, включая IAM, сетевую архитектуру и архитектуру учетных записей, управление ключами и секретами, а также CSPM
- Опыт создания вспомогательных инструментов безопасности на базе ИИ или внутренних платформ безопасности самообслуживания
- Опыт наставничества или технического руководства командой безопасности
- Сертификаты по наступательной или продвинутой безопасности, такие как OSAI, OSEP, OSCP или OSWE
Что вы получите взамен:
- Вы присоединитесь к компании, которая заботится о балансе между работой и личной жизнью
- Ежегодный бонус на основе цикла оценки производительности
- Щедрая политика ежегодного отпуска
- Медицинское страхование и пенсионный фонд с дополнительными льготами в зависимости от местоположения
- Гибридная модель работы (3 дня в нашем современном офисе и 2 дня полностью удаленно)
- Комплексная политика Workation с возможностью удаленной работы еще 30 дней.
- Возможность взять два дополнительных оплачиваемых выходных дня в год для волонтерской деятельности.
