DevSecOps-инженер
Оценка ИИХорошая вакансия для опытного специалиста с четко очерченным кругом задач и возможностью удаленной работы. Зарплатная вилка соответствует рынку для Senior-позиции в РФ, а работа с крупными заказчиками обещает интересные кейсы.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Сложность вакансии
Оценка ИИРоль требует глубоких знаний как в классическом DevOps (K8s, IaC), так и в специфических инструментах безопасности (SAST/DAST/SCA). Уровень Senior предполагает умение не только настраивать инструменты, но и выстраивать процессы взаимодействия с разработкой.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Анализ зарплаты
Оценка ИИПредложенная зарплата (230 000 – 270 000 руб. на руки) находится в пределах рыночной нормы для Senior DevSecOps в России, хотя верхняя граница могла бы быть выше для специалистов с глубокой экспертизой в облаках и безопасности. На рынке РФ медиана для таких ролей составляет около 300 000 руб. гросс.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Сопроводительное письмо
Составьте сопроводительное письмо под эту вакансию с вашим резюме
Описание вакансии
Публикатор: Kirill Morozov
Обсуждение: @devops_jobs
Вакансия: DevSecOps-инженер
Ищем Devsecops Senior
Локация: РФ
Формат работы: удаленка
Занятость: фуллтайм
ЗП: от 230.000 до 270.000 на руки
Компания: OUTKOD
Контакт для связи: Откликнуться
В связи с расширением штата нашей компании
требуется DevSecOps-инженер
Работаем над крупными финтех/телеком/ритейл проектами(подробности кандидатам)
Ищем DevSecOps-инженера, который поможет встроить безопасность в процессы разработки и эксплуатации. Вам предстоит работать вместе с разработчиками и DevOps-командой, автоматизировать проверки и повышать защищённость инфраструктуры — от кода до production.
Чем предстоит заниматься
Встраивать проверки безопасности в CI/CD: анализ кода, зависимостей, контейнерных образов и поиск секретов.
Настраивать проверки так, чтобы команда получала полезные результаты без избытка ложных срабатываний.
Обеспечивать безопасность Linux, Docker, Kubernetes и облачной инфраструктуры.
Управлять секретами, правами доступа и конфигурациями окружений.
Выявлять уязвимости, оценивать их критичность и помогать командам устранять риски.
Проверять Infrastructure as Code и разрабатывать безопасные шаблоны развёртывания.
Участвовать в разборе инцидентов и улучшать мониторинг событий безопасности.
Документировать решения и помогать разработчикам применять безопасные практики.
Что мы ожидаем
Практический опыт в DevSecOps либо опыт DevOps/SRE с задачами информационной безопасности.
Уверенное знание Linux, сетевых технологий, HTTP/HTTPS, TLS и принципов разграничения доступа.
Опыт работы с Docker, Kubernetes и одной из систем CI/CD: GitLab CI, GitHub Actions, Jenkins или аналогами.
Владение Terraform и/или Ansible.
Понимание SAST, DAST, SCA, сканирования контейнеров и подходов к управлению уязвимостями.
Навыки автоматизации на Python, Bash или Go.
Умение объяснять риски и предлагать практически выполнимые решения.
Будет плюсом
Опыт с Vault, Trivy, Semgrep, SonarQube, OWASP ZAP или аналогичными инструментами.
Знание AWS, Azure, GCP либо других облачных платформ.
Опыт настройки политик Kubernetes, OPA/Kyverno, Falco.
Знакомство с SBOM, подписанием артефактов и безопасностью цепочки поставки ПО.
Опыт моделирования угроз и участия в реагировании на инциденты.
Умный подбор, сопроводительные письма, советы по отказам — больше приглашений.
Навыки
- Python
- Linux
- Terraform
- Kubernetes
- GitHub Actions
- Bash
- Docker
- Jenkins
- DevSecOps
- Go
- Ansible
- GitLab CI
- HashiCorp Vault
- SonarQube
- SCA
- SAST
- DAST
- OWASP ZAP
- Trivy
- Semgrep
- Falco
- OPA
- Kyverno
Возможные вопросы на собеседовании
Проверка понимания практического применения инструментов безопасности в пайплайне.
Как вы минимизируете количество ложных срабатываний (false positives) при внедрении SAST-инструментов в CI/CD?
Оценка навыков обеспечения безопасности в оркестрации.
Какие методы и инструменты вы используете для обеспечения безопасности сетевого взаимодействия внутри кластера Kubernetes?
Проверка опыта работы с секретами.
Опишите ваш подход к управлению секретами в распределенной инфраструктуре. Почему вы выберете HashiCorp Vault вместо стандартных Secrets в K8s?
Оценка умения работать с уязвимостями.
Как вы приоритизируете уязвимости, найденные SCA-сканером в зависимостях, если их количество исчисляется сотнями?
Проверка навыков реагирования на инциденты.
Каков ваш алгоритм действий при обнаружении критической уязвимости в образе, который уже развернут в production?
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
