Инженер по безопасной разработке ПО

Требования: Опыт в сфере безопасности приложений, DevSecOps или продуктовой безопасности от 3 лет
Опыт внедрения безопасной разработки ПО (SSDLC), требований безопасности, мер безопасности и контрольных точек качества
Практический опыт работы с SAST (Semgrep, PT AI, Solar appscreener или аналоги), DAST (Burp Suite, OWASP ZAP, Nuclei) и CI/CD: Jenkins и/или GitLab CI
Опыт обеспечения безопасности контейнеров (Docker, Kubernetes) и IaC (Terraform, Ansible)
Понимание основных классов уязвимостей веб- и API-приложений (SQL-инъекции, brute force, OWASP Top 10 и смежные категории CWE/SANS Top 25)
Умение читать код/скрипты (Bash и смежные языки) на уровне понимания уязвимости
Высшее техническое образование в сфере информационных технологий, информационных систем или информационной безопасности
Умение доносить ценность ИБ без давления, продуктовое мышление, системный подход к потоку находок
Опыт использования инструментов ИИ в работе (Claude, Gemini, ChatGPT)
Знание Snyk, Wiz, Tenable, Qualys, Invicti/Acunetix, SonarQube и оркестраторов/ASOC: ArmorCode, DefectDojo, Swordfish AppSec Hub
Опыт работы с open-source и pentest-инструментами: Trivy, Grype, Metasploit, ffuf, boofuzz, nmap
Опыт работы с IaC-инструментами SaltStack, администрирование Linux (Debian, Arch, Alpine, RedOS и др.)
Английский на уровне B2 и выше

Обязанности: Развивать и сопровождать безопасную разработку ПО (SSDLC): меры безопасности, контрольные точки качества по безопасности
Внедрять и поддерживать SAST (например, Semgrep, PT AI, Solar appscreener), DAST (Burp Suite, OWASP ZAP, Nuclei) и SCA, обеспечивать безопасность контейнеров (Docker, Kubernetes) и IaC (Terraform, Ansible) в CI/CD на базе Jenkins и GitLab CI
Разбирать находки сканеров: отсекать ложные срабатывания, вручную подтверждать эксплуатируемость критичных уязвимостей (в т.ч. SQL-инъекции, brute force и другие типовые векторы атак)
Вести уязвимости от обнаружения до устранения: приоритизация, контроль сроков устранения (SLA), отчётность
Консультировать разработку и архитекторов, участвовать в моделировании угроз и анализе безопасности архитектурных решений
Настраивать контрольные точки качества в CI/CD, вести базу исключений и принятых рисков, отслеживать наличие незакрытых секретов в репозиториях
Использовать инструменты ИИ для анализа кода и автоматизации задач по безопасности приложений