Главный AppSec инженер
Оценка ИИПозиция предлагает высокую заработную плату, удаленный формат работы и возможность работать в крупной ИТ-компании над серьезным банковским проектом. Требования высоки, но это компенсируется профессиональным ростом и работой с современным стеком технологий безопасности.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Сложность вакансии
Оценка ИИРоль требует глубокой экспертизы не только в поиске уязвимостей (OWASP, Burp Suite), но и в анализе архитектуры сложных систем, а также знания регуляторных требований. Высокий порог входа обусловлен необходимостью совмещать навыки программирования, системного анализа и управления рисками.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Анализ зарплаты
Оценка ИИПредлагаемая зарплата до 534 000 руб. gross находится на верхней границе рыночного диапазона для Senior/Lead AppSec специалистов в России. Это конкурентное предложение, соответствующее высокому уровню ответственности и требуемому опыту.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Сопроводительное письмо
Составьте сопроводительное письмо под эту вакансию с вашим резюме
Описание вакансии
Главный AppSec инженер на банковский проект в команду Юзтех (https://usetech.ru).
ЗП: до 534 388 руб. gross (до вычета НДФЛ)
Локация: РФ
Формат: удаленный
Оформление в штат Юзтех
Требования:
- Высшее IT-образование, желательно со специализацией в области ИБ
- Опыт работы в области практического анализа защищенности и анализа архитектурной документации от 4-х лет
Знания:
- В области основ ИБ (протоколов, средств защиты информации, их предназначения, инфраструктуры PKI и понимания принципа работы криптографических алгоритмов)
- В области Application security: умение находить и устранять веб-уязвимости из OWASP Top 10, OWASP Mobile Top 10, CWE Top 25
- В области экспертизы архитектуры информационных систем: умение находить ошибки/уязвимости на уровне проектной документации, в т.ч. логике бизнес процессов и предлагать релевантные механизмы и средства защиты
- Технологий построения прикладных систем в т.ч. с использованием микросервисов и контейнеризации
- В области анализа кода и программирования
- Принципов работы современных веб-приложений, процессов CI/CD и безопасной разработки SSDLC
- Типовых практик по повышению защищенности веб-приложений
- Регуляторных требований в области ИБ
- Методологии риск-ориентированного подхода, умение проводить качественную оценку рисков и формировать сценарии угроз
- Профессиональный уровень владения Burp Suite (возможность использования кастомных расширений, построения многоуровневых атак, и комбинирование техник)
Будет плюсом:
- Опыт участия в ctf, bug bounty
- Сертификации OSCP, OSWE, Portswigger Web Security Academy, CEH, CISSP
- Опыт написания правил поиска уязвимостей на CodeQL
- Владение одним из ЯП (Java, Python, Go)
Обязанности:
- Участвовать в проработке задач с точки зрения ИБ на всех этапах жизненного цикла проекта
- Проводить анализ архитектуры решений на безопасность и участвовать в согласовании проектной документации
- Моделировать сценарии угроз и участвовать в согласовании новых и пересмотре существующих рисков
- Анализировать планы и бэклог команд разработки, предъявлять требования и рекомендации к новым фичам
- Участвовать в расследованиях при выявлении инцидентов ИБ
- Оказывать экспертную поддержку командам разработки по вопросам ИБ, практикам написания безопасного кода, построения архитектуры ИС и выполнения требований безопасности
- Проводить Code Review по результатам анализа для выявления и устранения уязвимостей
- Проводить работу с результатами сканирования инструментов безопасной разработки для выявления и устранения уязвимостей
- Приоритизировать бэклог уязвимостей и контролировать их исправление
Контакты: Откликнуться
Больше похожих вакансий + автоотклики с ИИ
Умный подбор, сопроводительные письма, советы по отказам — больше приглашений.
Навыки
- AppSec
- OWASP
- Burp Suite
- SSDLC
- CI/CD
- Microservices
- Docker
- Kubernetes
- CodeQL
- Java
- Python
- Go
- Cryptography
- PKI
- Risk Assessment
Возможные вопросы на собеседовании
Проверка практического опыта работы с основным инструментом AppSec-инженера.
Расскажите о самом сложном кейсе использования Burp Suite для обхода механизмов защиты или построения многоуровневой атаки.
Оценка навыков анализа безопасности на этапе проектирования, что критично для данной роли.
Как вы подходите к моделированию угроз для микросервисной архитектуры на этапе согласования проектной документации?
Проверка умения работать с процессами разработки и инструментами автоматизации безопасности.
Каким образом вы выстраиваете процесс приоритизации уязвимостей, найденных SAST/DAST инструментами, чтобы не перегружать команды разработки?
Оценка навыков коммуникации и влияния на процесс разработки.
Как вы аргументируете необходимость внедрения ИБ-требований, если команда разработки считает, что они замедляют выпуск критически важной бизнес-фичи?
Проверка знаний современных методов автоматизированного поиска уязвимостей.
Есть ли у вас опыт написания кастомных правил на CodeQL или использования других инструментов статического анализа для поиска специфических логических ошибок?
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
