Cyber Security Consultant (Penetration Tester)

Название: Консультант по кибербезопасности (тестировщик на проникновение) Местоположение: Сити, Лондон / гибридный формат

Moore Kingston Smith ищет опытного консультанта по кибербезопасности, специализирующегося на тестировании на проникновение, для присоединения к нашей клиентской команде консультантов. Вы присоединитесь к команде кибербезопасности, признанной NCSC, в нашей практике консультирования по управлению рисками, поддерживая разнообразный портфель клиентов в различных секторах.

Это практическая роль, ориентированная на проведение тестов на проникновение веб-приложений, API, а также внутренней и внешней сетевой инфраструктуры. Вы также будете поддерживать оценку Cyber Essentials Plus и более широкие технические обзоры безопасности, включая оценку уязвимостей, проверку конфигураций по признанным стандартам и обзоры безопасности облачных сред. Вы будете выявлять и безопасно проверять слабые места в системе безопасности, четко объяснять связанные с этим риски для бизнеса и предоставлять практические рекомендации по устранению неполадок, адаптированные для каждого клиента.

Техническая реализация будет составлять не менее 70% роли и останется основным направлением деятельности. В зависимости от вашего опыта, интересов и потребностей бизнеса, могут появиться возможности для участия в более широких проектах по кибербезопасности, включая оценку уровня зрелости кибербезопасности, обзоры средств контроля безопасности, подготовку к аудиту и консультации по проектированию безопасности. Как правило, это будет составлять до 30% вашего времени и предоставит возможность расширить ваш консультантский опыт, одновременно поддерживая клиентов по более широкому спектру задач в области безопасности.

Мы ищем проактивного консультанта с сильными техническими основами, здравым профессиональным суждением и искренним интересом в помощи клиентам улучшить их положение в области безопасности. Эта роль предлагает возможность углубить ваш опыт в области наступательной безопасности, одновременно способствуя постоянному росту совместной и коммерчески ориентированной практики кибербезопасности.

• Руководить и поддерживать проекты по тестированию на проникновение веб-приложений, API, а также внутренней и внешней сетевой инфраструктуры.
• Работать с клиентами для определения целей, согласования объема работ и правил взаимодействия, а также планирования тестирования, отвечающего их потребностям в обеспечении гарантий.
• Применять методы ручного и автоматизированного тестирования, соответствующие признанным методологиям и фреймворкам, включая OWASP Web Security Testing Guide, PTES и MITRE ATT&CK.
• Проводить оценку Cyber Essentials Plus, включая определение объема работ, проведение требуемых технических тестов, проверку устранения недостатков и поддержку клиентов до получения сертификата в соответствии с текущими требованиями схем NCSC и IASME.
• Проводить более широкие технические обзоры безопасности, включая оценку уязвимостей, обзоры безопасности облачных сред, а также обзоры сборки и конфигурации по стандартам CIS Benchmarks и рекомендациям по усилению защиты от поставщиков.
• Подготавливать четкие, высококачественные отчеты и представлять результаты техническим и нетехническим заинтересованным сторонам. Применять соответствующие рейтинги рисков, объяснять влияние на бизнес и поддерживать клиентов в устранении недостатков и повторном тестировании.
• Поддерживать общие консультационные проекты, такие как оценка рисков кибербезопасности, обзоры средств контроля безопасности, подготовка к аудиту, планирование мер по устранению недостатков и консультации по проектированию безопасности.
• Налаживать прочные отношения с клиентами и способствовать развитию бизнеса, поддерживая предложения, определение объема работ, тендеры и разработку концепций, а также выявляя возможности для расширения наших услуг.
• Поддерживать актуальные знания о ландшафте угроз, новых методах атак, методологиях тестирования и требованиях схем, одновременно участвуя в экспертной оценке и обеспечении качества.
• Способствовать постоянному совершенствованию наших методологий, инструментов, процессов предоставления услуг и технических возможностей.

Обязательные требования

• Профессиональный опыт проведения клиентских тестов на проникновение веб-приложений, API, а также внутренней или внешней сетевой инфраструктуры, самостоятельно и/или в составе команды.
• Сильные навыки ручного тестирования и здравое суждение при выборе и использовании автоматизированных инструментов, с практическим опытом работы с Kali Linux, Burp Suite, Nmap и Qualys или Nessus.
• Знакомство с признанными методологиями и фреймворками тестирования на проникновение, а также умение писать скрипты или автоматизировать задачи с использованием Python, PowerShell, Bash или сопоставимого языка.
• Хорошее знание современной веб-архитектуры, распространенных уязвимостей веб-приложений и API, TCP/IP, безопасности Windows и Linux, а также путей атак Active Directory и Microsoft Entra ID.
• Опыт проведения или способность проводить более широкие технические оценки, такие как оценка уязвимостей и обзоры конфигураций по признанным стандартам, таким как CIS.
• Рабочее знание схем Cyber Essentials и Cyber Essentials Plus. Опыт работы в качестве оценщика является преимуществом; при необходимости будет предоставлено соответствующее обучение.
• Способность управлять проектами в рамках согласованного объема работ, правил взаимодействия, сроков, бюджета и стандартов качества, поддерживая четкие доказательства тестирования и защищая системы и данные клиента.
• Сильные навыки письменного общения, включая способность составлять четкие, точные и действенные технические отчеты.
• Сильные навыки устного общения и управления заинтересованными сторонами, способность объяснять технические результаты, риски и влияние на бизнес как технической, так и нетехнической аудитории.
• Проактивный, клиентоориентированный подход и приверженность постоянному обучению, уверенность в работе с клиентами от малого и среднего бизнеса и стартапов до крупных предприятий.

Желательные требования

• Признанная практическая сертификация по тестированию на проникновение, такая как CREST CRT, OSCP, OSWE, CSTM или эквивалентная квалификация.
• Опыт в дополнительных дисциплинах тестирования, таких как тестирование мобильных приложений, беспроводных сетей или облачных сред, а также оценка фишинговых и социальных инженеров.
• Опыт работы с общедоступными облачными платформами и SaaS, такими как AWS, Azure, GCP или Microsoft 365, или практический опыт в области безопасности или ИТ-инженерии, такой как усиление защиты систем и внедрение технических средств контроля.
• Интерес к более широким консультационным работам, таким как оценка рисков кибербезопасности, обзоры средств контроля безопасности, подготовка к аудиту, или рабочее знание признанных фреймворков, таких как ISO/IEC 27001, NIST или CIS Controls, или опыт в этой области.