Lead Application Security Engineer
Оценка ИИПозиция в стабильной крупной компании с хорошим соцпакетом (ДМС, обучение) и возможностью влиять на архитектуру безопасности. Гибридный формат работы и офис в центре Москвы являются дополнительными плюсами.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Сложность вакансии
Оценка ИИРоль уровня Lead требует не только глубоких технических знаний в AppSec (SAST, DAST, аудит кода), но и навыков проектирования архитектуры и выстраивания процессов S-SDLC в крупной организации.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Анализ зарплаты
Оценка ИИЗарплата в вакансии не указана, однако для позиции Lead AppSec в Москве рыночный диапазон составляет от 300 000 до 450 000 рублей. СОГАЗ, как крупный игрок финансового сектора, обычно предлагает конкурентоспособные условия, соответствующие рынку.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Сопроводительное письмо
Составьте сопроводительное письмо под эту вакансию с вашим резюме
Описание вакансии
Lead Application Security Engineer — СОГАЗ
Москва, возможен гибрид. Офис рядом с метро Чистые пруды. Полный рабочий день, оформление по ТК РФ. Зарплата не указана.
Нужен специалист по безопасности кода: развивать S-SDLC и автоматизацию статического анализа веб-приложений, проводить ручной анализ и аудит кода, искать секреты. Ещё предстоит участвовать в проектировании безопасной архитектуры, формулировать требования, консультировать разработчиков и контролировать исправление уязвимостей.
Что требуется:
— самостоятельно находить уязвимости веб-приложений, знать client-side и server-side атаки на уровне OWASP Top 10 и шире
— понимать CI/CD, GitLab CI и DevOps, работу и настройку инструментов статического анализа
— понимать хотя бы один язык программирования, в приоритете Java и Python, уметь читать код и выявлять ошибки
— разбираться в PKI, LDAP, OAuth, SAML и 2FA
— знать Bash, Docker, Python или Go, иметь опыт с Burp Suite и OWASP ZAP
Отчёты Bug Bounty, CVE, профильные сертификаты, статьи и выступления будут плюсом. Среди условий — ДМС со стоматологией и внешнее обучение после испытательного срока.
Откликнуться — на Хабр Карьере после авторизации.
Умный подбор, сопроводительные письма, советы по отказам — больше приглашений.
Навыки
- Application Security
- S-SDLC
- SAST
- DAST
- OWASP Top 10
- CI/CD
- GitLab CI
- DevOps
- Java
- Python
- PKI
- LDAP
- OAuth
- SAML
- 2FA
- Bash
- Docker
- Go
- Burp Suite
- OWASP ZAP
Возможные вопросы на собеседовании
Проверка практического опыта в аудите кода и понимания векторов атак.
Расскажите о самой сложной уязвимости, которую вы нашли в ходе ручного анализа кода. Как она была исправлена?
Оценка навыков автоматизации безопасности в процессах разработки.
Как бы вы организовали процесс внедрения SAST-инструментов в существующий CI/CD пайплайн, чтобы не блокировать работу разработчиков ложными срабатываниями?
Проверка знаний современных протоколов аутентификации и авторизации.
В чем основные различия между OAuth 2.0 и SAML, и в каких сценариях вы бы рекомендовали использовать каждый из них?
Оценка лидерских качеств и умения взаимодействовать с командами.
Как вы выстраиваете коммуникацию с разработчиками, которые не считают безопасность приоритетной задачей и затягивают исправление уязвимостей?
Проверка навыков проектирования безопасных систем.
Какие ключевые требования безопасности вы бы предъявили к новому микросервису, обрабатывающему персональные данные клиентов?
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
