AppSec Technical Lead

Описание вакансии

**AppSec Technical Lead.

Локация:** .

Опыт: 4+ лет.

Зарплата: 300 000 —‍ 450 000 ₽.

Компания: Сбер.

Обязанности:• Быть техническим лидером для команды AppSec-инженеров.

• Помогать команде принимать архитектурные и технические решения в области Application Security.

• Наставлять инженеров, помогать им развивать экспертизу в AppSec, DevSecOps, security code review и автоматизации.

• Проводить ревью технических решений, подходов к анализу уязвимостей, SAST-правил и security-автоматизаций.

• Участвовать в планировании работы команды совместно с Product Owner.

• Помогать приоритизировать задачи с учётом технических рисков, бизнес-контекста и загрузки команды.

• Быть единой точкой входа для PO продукта по вопросам AppSec: статусы, блокеры, риски, roadmap, технические ограничения и потребности команды.

• Развивать интеграцию security-проверок в CI/CD.

• Разрабатывать и поддерживать правила для SAST-инструментов.

• Улучшать процессы работы с SAST/SCA/DAST/MAST: качество проверок, triage, отчётность, снижение false positives.

• Писать автоматизацию для интеграции сканеров, обработки результатов, обогащения находок и формирования метрик.

• Исследовать и тестировать новые инструменты проверки безопасности приложений.

• Помогать делать security-проверки более полезными для разработчиков и менее шумными для команд.

Требования:

• Опыт в Application Security от 4 лет либо сопоставимый опыт в разработке с последующим переходом в security.

• Практический опыт технического лидерства, наставничества или координации работы AppSec/security-инженеров.

• Глубокое понимание secure SDLC, shift-left security и DevSecOps.

• Практический опыт работы с SAST, SCA, DAST и/или MAST-инструментами.

• Опыт интеграции security-проверок в CI/CD.

• Опыт security code review на одном или нескольких языках: Java/Kotlin, Go, Python.

• Уверенное владение одним из языков: Python/Java/Go.

• Опыт работы с Bash.

• Глубокое понимание OWASP Top 10, OWASP ASVS и OWASP Mobile Top 10.

• Понимание современных архитектур: микросервисы, REST/gRPC API, Kubernetes, контейнеризация.

• Опыт анализа результатов сканирования, валидации уязвимостей, поиска false positives и приоритизации рисков.

• Практический опыт взаимодействия с разработчиками по исправлению уязвимостей.

• Понимание специфики безопасности мобильных приложений.

• Опыт работы с MAST-инструментами.

• Понимание типовых рисков мобильных приложений: insecure storage, insecure communication, неправильная работа с secrets, jailbreak/root detection, reverse engineering risks, certificate pinning, tampering.

• Опыт анализа Android/iOS-приложений будет преимуществом.

• Инструментальное владение AI для анализа, генерации и автоматизации.

*✈* Откликнуться