Мы ожидаем:
· Опыт практической работы в области AppSec не менее 3 лет, включая самостоятельное проведение аудитов безопасности веб-приложений, API и мобильных приложений;
· Глубокое знание актуальных векторов атак: OWASP Top 10, OWASP API Security Top 10, CWE, SANS Top 25. Способность не только называть, но и объяснять механику эксплуатации и методы защиты;
· Практический опыт работы с инструментами SAST (Semgrep, Checkmarx, SonarQube или аналоги) и DAST (Burp Suite Professional, OWASP ZAP, Nuclei). Опыт написания кастомных правил или шаблонов — обязателен;
· Опыт работы в процессах Secure SDLC: участие в threat modeling, security review архитектуры, ревью кода с точки зрения безопасности;
· Умение читать и анализировать код на одном или нескольких языках из стека: Java, Python, Go, Kotlin, JavaScript/TypeScript. Знание характерных для каждого языка паттернов уязвимостей;
· Понимание архитектуры микросервисов, REST/gRPC API, контейнеризации (Docker, Kubernetes) и CI/CD-пайплайнов с точки зрения безопасности;
· Опыт работы с ASOC-платформами или системами управления уязвимостями (AppSec.Hub, Шерлок, DefectDojo или аналоги);
· Способность самостоятельно писать техническую документацию на русском языке: отчёты по аудитам, threat model, security notes, описания уязвимостей;
· Умение писать правила для WAF на основе анализа уязвимостей и имеющих актуальных угроз.
Будет плюсом:
· Наличие сертификации по направлению информационной безопасности: CEH, OSCP, CREST Certified Tester (CT), CREST Web Application Penetration Testing Certification (CRT) или аналогичных практических сертификатов в области AppSec/пентестинга;
· Опыт построения или участия в AppSec-программе: Security Champions, Security Requirements, интеграция безопасности в SDLC.
Мы предлагаем:
· Оформление официальное по ТК РФ/ИП/Самозанятый;
· Конкурентная «белая» заработная плата (обсуждается по итогам интервью);
· Формат работы: удаленно;
· Предоставление ДМС;
· Фитнес;
· Курсы повышения квалификации на ежегодной основе (по согласованию);
· Самые инновационные, амбициозные проекты и задачи;
· Корп.мероприятия (настолки, боулинг, квесты и т.д.), подарки на НГ детям сотрудников Компании и другие мероприятия для поддержания хорошего настроения;
· Возможность публиковать свои проф. статьи на Хабр в нашем блоге с сохранением своего авторства – как повышение своего уровня экспертности в проф.среде;
· Возможность профессионального и карьерного роста.