Инженер по безопасности разработки ПО/ AppSec-инженер
Зарплата: по итогам собеседования
Компания: N3.Tech
Санкт-Петербург
Полная занятость
ИТ-группа N3.Tech создает цифровые решения на уровне сложных, масштабных и критически важных систем для государства и крупного бизнеса. Мы объединяем инженерию, отраслевой консалтинг и продуктовый подход, чтобы брать на себя полную ответственность за результат — от идеи до работающего решения, влияющего на миллионы людей.
У нас работают команды, которые не боятся сложных задач: высоконагруженные платформы, государственные информационные системы, транспорт, импортонезависимые корпоративные решения. Мы ищем людей, которым важно делать осмысленные проекты, видеть реальный эффект своей работы и расти вместе с сильной технологической командой и амбициозными клиентами.
Мы в поисках инженера по безопасности разработки ПО.
Мы вам доверим задачи:
Участвовать в обеспечении безопасности ПО на всех этапах жизненного цикла разработки.
Проводить анализ безопасности архитектуры и Threat Modeling разрабатываемых решений, выявлять потенциальные угрозы и формировать требования по их снижению.
Проводить SAST, SCA и DAST-проверки, анализировать полученные результаты, подтверждать выявленные уязвимости и отрабатывать False Positive.
Проводить ручной Security Code Review критичных компонентов ПО, включая анализ механизмов аутентификации, авторизации, обработки данных и других чувствительных участков кода.
Интегрировать автоматизированные проверки безопасности в CI/CD и участвовать в настройке Security Gates, определяющих условия допуска ПО к сборке и выпуску.
Контролировать безопасность сторонних компонентов и зависимостей, выявлять уязвимые компоненты, анализировать транзитивные зависимости, участвовать в формировании и актуализации SBOM.
Консультировать команды разработки по вопросам безопасного программирования, участвовать в разработке Secure Coding Guidelines и повышении уровня Security Awareness разработчиков.
Участвовать в реагировании на критические уязвимости и инциденты безопасности ПО, включая анализ возможности эксплуатации, Root Cause Analysis и проверку срочных исправлений.
Вести реестр уязвимостей, результаты проверок, исключения, принятые риски и доказательства выполнения требований безопасности.
Анализировать эффективность существующих контролей и предлагать улучшения процессов безопасной разработки
Что необходимо знать и уметь:
Принципы принципы безопасной разработки ПО (Secure SDLC).
Типовые уязвимости веб-приложений и API, механизмы их возникновения и способы предотвращения.
Умение выявлять небезопасные конструкции и практики программирования, понимать логику приложения и оценивать потенциальную возможность эксплуатации уязвимости.
SAST, SCA и DAST, умение настраивать и применять средства автоматизированного анализа, интерпретировать результаты, подтверждать уязвимости и выявлять False Positive.
Умеете управлять уязвимостями, оценивать критичность и применимость уязвимостей, определять приоритеты устранения, контролировать исправление и проводить повторную проверку.
Threat Modeling и анализ архитектуры, понимание границы доверия, потоки данных, внешние интерфейсы и потенциальные векторы атак; уметь выявлять угрозы и формировать требования безопасности.
Безопасность компонентов и зависимостей, понимание рисков open-source и сторонних компонентов, прямых и транзитивных зависимостей, уметь работать с CVE/CWE и SBOM.
Безопасность CI/CD, принципы интеграции security-контролей в процессы разработки, включая Security Gates, проверки Merge/Pull Request и контроль безопасности программных артефактов.
Основы безопасности приложений и инфраструктуры, принципы работы Linux, Git, Docker, Kubernetes и IaC в той мере, которая необходима для анализа рисков безопасности приложений.
Методики и стандарты AppSec: OWASP ASVS/SAMM, CWE, CVE/CVSS, NIST SSDF и применимые требования безопасной разработки ПО.
Основы безопасного программирования, принципы аутентификации и авторизации, управления сессиями, обработки пользовательских данных, криптографии.
Российские требования к безопасной разработке ПО, применимые требования ФСТЭК России и ГОСТ Р 56939-2024 в части безопасности разработки.
Мы предлагаем комфортные условия для решения сложных задач:
Аккредитованная ИТ-компания
Полное соблюдение ТК РФ
ДМС, полис путешественника и страхование от несчастных случаев
4 дополнительных выходных в год по болезни
Гибкое начало рабочего дня с 09:00 до 11:00
Главное достоинство N3.Tech — это люди, которые здесь работают. У нас развита корпоративная культура, поддержка и обмен опытом.
Присоединяйтесь к нашей команде и проявляйте себя, создавая цифровое будущее с нами