Мы ищем старшего инженера DevSecOps, который присоединится к нашей команде Product Security и поможет усилить безопасность на протяжении всего жизненного цикла разработки нашего программного обеспечения.
В этой роли вы будете проектировать, внедрять и поддерживать интеграцию безопасности в конвейеры CI/CD, автоматизировать рабочие процессы безопасности, а также повышать надежность и эффективность средств контроля безопасности. Вы будете тесно сотрудничать с командами Application Security, Cloud Security, DevOps, Platform и Engineering, чтобы обеспечить бесшовную интеграцию проверок безопасности в рабочие процессы разработки, эффективное выявление и устранение уязвимостей, а также предоставление разработчикам четкой и действенной обратной связи.
Это практическая техническая роль, дающая возможность влиять на то, как инструментарий и автоматизация безопасности внедряются в нашей инженерной среде.
Обязанности
- Интегрировать и поддерживать SAST, SCA и сканирование секретов в конвейерах CI/CD и рабочих процессах разработчиков
- Создавать многоразовые интеграции конвейеров и правила безопасности, управляемые как код, включая согласованные проверки конфигурации облака с Cloud Security и DevOps. Тестировать изменения, планировать безопасное развертывание с владельцами конвейеров и проверять, что требуемые проверки выполняются в согласованном объеме
- Настраивать правила и конфигурации сканеров для уменьшения ложных срабатываний и предоставления разработчикам полезной обратной связи. Проверять изменения с AppSec, записывать исключения и избегать сокрытия реальных рисков, чтобы конвейеры оставались зелеными
- Устранять проблемы с неудачными сканированиями, сломанными интеграциями и сбоями конвейера, связанными с безопасностью. Оперативно восстанавливать средства контроля или эскалировать блокировки, объясняя влияние и необходимые действия
- Автоматизировать сбор результатов, обработку дубликатов, создание тикетов и обновление статусов. Убедиться, что для подтвержденных критических результатов и секретов есть владелец, действие и крайний срок; отслеживать и эскалировать нерешенные вопросы владения или блокировки
- Работать с AppSec и разработчиками для проверки результатов, улучшения рекомендаций по устранению и проверки исправлений при необходимости. Превращать повторяющиеся проблемы в многоразовые проверки и улучшения рабочего процесса
- Применять изменения конфигурации сканера в рамках утвержденной базовой линии. Рекомендовать новые этапы, изменения инструментов и улучшения обработки исключений для утверждения; эскалировать проблемы, нарушающие работу конвейера, или критические неназначенные результаты менеджеру (DevSecOps & Application Security)
- Вести четкие записи о покрытии, руководства по устранению неполадок и операционные руководства. Использовать данные конвейера и инструментов для демонстрации отсутствующих проверок, сбоев контроля и неустраненных результатов, а также делиться знаниями, чтобы другие могли поддерживать интеграции
Требования
- Минимум 3 года практического опыта работы в сфере DevSecOps
- Глубокое понимание рабочих процессов Git и конвейеров CI/CD, способность проектировать многоразовые интеграции, расследовать неудачные задания и оценивать влияние изменений на доставку программного обеспечения
- Практический опыт настройки статического анализа безопасности приложений (SAST), анализа состава программного обеспечения (SCA) и сканирования секретов, настройки правил, расследования ложных срабатываний и маршрутизации результатов соответствующим командам
- Способность писать, тестировать и поддерживать автоматизацию на подходящем языке, таком как Python, Bash или Go, и интегрировать системы через API. Конкретный язык менее важен, чем надежные, поддерживаемые интеграции
- Опыт внедрения проверок или политик безопасности как кода, с контролем версий, тестированием и управляемыми изменениями
- Практический опыт обеспечения безопасности и укрепления облачных сред с использованием как минимум одного основного облачного провайдера (предпочтительно AWS), включая автоматизированные проверки соответствия согласованным требованиям безопасности
- Рабочее знание Linux и сред сборки на основе контейнеров, включая разрешения, учетные данные и журналы, необходимые для устранения неполадок в инструментах безопасности
- Понимание распространенных рисков, связанных с приложениями, зависимостями и раскрытыми секретами; способность отличать сбой инструмента от проблемы безопасности и определять, когда требуется проверка специалиста
- Способность вести четкие записи о покрытии, операционные руководства и отчетность с использованием данных конвейера, сканера и рабочих элементов
- Сильные навыки решения проблем, коммуникации и сотрудничества, способность брать на себя ответственность за технические задачи и координировать работу с кросс-функциональными командами
- Английский (B1), русский (свободно)
Будет плюсом
- Прямой опыт интеграции безопасности GitLab CI/CD
- Опыт работы с Terraform или проверками безопасности Kubernetes
- Безопасность цепочки поставок программного обеспечения, включая списки материалов программного обеспечения (SBOM), подписание артефактов или происхождение сборки
- Опыт интеграции динамического тестирования безопасности приложений (DAST) или использования инструментов с поддержкой ИИ для улучшения автоматизации безопасности с соответствующей проверкой
- Опыт работы в сфере финтеха, трейдинга, платежей или других продуктовых средах с повышенными требованиями к безопасности
Мы предлагаем
- 20 оплачиваемых дней отпуска в год
- 10 оплачиваемых дней больничного в год
- Государственные праздники согласно утвержденному списку государственных праздников компании
- Медицинский бюджет
- Возможность удаленной работы
- Бюджет на профессиональное образование
- Бюджет на изучение языков
- Велнес-бюджет (а (абонемент в спортзал, спортивный инвентарь и сопутствующие расходы)
