- Страна
- Россия
Lead AppSec
Оценка ИИПозиция в известной технологической компании с фокусом на криптографию и безопасность. Интересные задачи по масштабированию SSDLC и гибридный формат работы делают вакансию очень привлекательной для экспертов.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Улучшите резюме под эту вакансию
Возьмём требования и создадим новую версию резюме с акцентом на нужный опыт
Сложность вакансии
Оценка ИИРоль требует не только глубоких технических знаний в области безопасности кода и инструментов (SAST/DAST), но и лидерских качеств для выстраивания процессов SSDLC с нуля. Необходимо уметь находить компромиссы с разработчиками и бизнесом.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Анализ зарплаты
Оценка ИИЗарплата в вакансии не указана, но для позиции Lead AppSec в Москве рыночный диапазон составляет от 350 000 до 550 000 рублей. Учитывая специфику компании «Криптонит», можно ожидать предложения по верхней границе рынка при наличии соответствующего опыта.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Сопроводительное письмо
Составьте сопроводительное письмо под эту вакансию с вашим резюме
Описание вакансии
**Lead AppSec.
Локация:** #Москва.
Опыт: 3–6 лет.
Зарплата: ₽. Обсуждается на собеседовании.
Компания: Криптонит.
Обязанности:• Построение, настройка и масштабирование процессов безопасной разработки (SSDLC) на уровне компании.
• Интеграция AppSec-инструментов (SAST, SCA, DAST, сканеры секретов) в текущие CI/CD-конвейеры как stage-проверок.
• Управление жизненным циклом уязвимостей: triage, CVSS-оценка, настройка фильтров/исключений, контроль SLA и retest.
• Проведение аудитов безопасности кода и конфигураций, сопровождение внешних аудитов и пентестов.
• Консультирование и обучение команд разработки, продвижение практик Security by Design, формирование культуры ответственного кода.
Требования:• Опыт внедрения и настройки SAST/SCA/DAST (Semgrep, Gitleaks, Trivy, Nuclei, OWASP ZAP, SonarQube, SVACE и аналоги).
• Глубокое знание OWASP Top 10, ASVS, CVSS v3, типов уязвимостей (XSS, SQLi, SSRF, небезопасный десериализация, логические ошибки доступа и др.).
• Понимание CI/CD (GitLab CI/GitHub Actions) на уровне конфигурации проверок, а не управления пайплайнами/инфраструктурой.
• Умение читать код и проводить ревью на уровне Java/Python/Go/Scala (на уровне обнаружения уязвимостей, а не архитектурного код-дизайна).
• Опыт работы с системами управления секретами (HashiCorp Vault) — преимущество.
• Умение объяснять риски «на языке разработчиков» и бизнеса, не выступая в роли барьера.
• Самостоятельное выстраивание процессов в условиях неопределённости.
• Конструктивное разрешение конфликтов (безопасность vs сроки релиза).
• Способность отличать реальный бизнес-риск от теоретической уязвимости.
*✈* Откликнуться
Больше похожих вакансий + автоотклики с ИИ
Умный подбор, сопроводительные письма, советы по отказам — больше приглашений.
Навыки
- SSDLC
- SAST
- DAST
- SCA
- Semgrep
- Gitleaks
- Trivy
- Nuclei
- OWASP ZAP
- SonarQube
- Svace
- GitLab CI
- GitHub Actions
- Java
- Python
- Go
- Scala
- HashiCorp Vault
- CVSS
Возможные вопросы на собеседовании
Проверка умения приоритизировать задачи и оценивать реальное влияние на бизнес.
Как вы будете действовать, если SAST-сканер обнаружил критическую уязвимость в коде за час до важного релиза?
Оценка опыта работы с конкретными инструментами и понимания их ограничений.
Какие основные проблемы возникают при внедрении Semgrep или SonarQube в существующий CI/CD и как вы их решали?
Проверка навыков коммуникации и обучения команд.
Как вы планируете внедрять культуру Security by Design среди разработчиков, которые видят в безопасности только помеху?
Оценка технической экспертизы в области современных угроз.
Расскажите о наиболее сложной логической уязвимости, которую вы обнаружили в ходе ручного аудита кода на Java или Go.
Проверка знаний в области управления секретами.
Каковы лучшие практики интеграции HashiCorp Vault с CI/CD для предотвращения утечки секретов в репозитории?
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
