Senior Application Security Engineer (Главный эксперт R&D)
Оценка ИИUsetech — известная IT-компания с хорошей репутацией. Вакансия предлагает удаленный формат работы, интересные задачи уровня R&D и возможность влиять на архитектуру крупных проектов.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Сложность вакансии
Оценка ИИРоль требует глубоких знаний как в технической части (AppSec, Burp Suite, SSDLC), так и в архитектурном анализе и комплаенсе. Высокий порог входа обусловлен необходимостью совмещать навыки хакера и системного архитектора.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Анализ зарплаты
Оценка ИИЗарплата в объявлении не указана, однако для позиции Senior AppSec в России рыночный диапазон составляет от 300 000 до 450 000 рублей после вычета налогов. Учитывая статус 'Главного эксперта', можно ожидать предложения по верхней границе рынка.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Сопроводительное письмо
Составьте сопроводительное письмо под эту вакансию с вашим резюме
Описание вакансии
**Senior Application Security Engineer (Главный эксперт R&D).
Локация:** Можно работать удаленно.
Опыт: 3+ лет.
Зарплата: ₽. Обсуждается на собеседовании.
Компания: Usetech.
Обязанности:• Обеспечивать информационную безопасность на всех этапах жизненного цикла проектов — от предпроектного анализа до внедрения и последующего контроля.
• Проводить экспертизу архитектуры решений на соответствие требованиям ИБ, участвовать в согласовании организационно-распорядительной, архитектурной и технической документации.
• Моделировать сценарии угроз, оценивать и пересматривать риски информационной безопасности.
• Анализировать планы и бэклог разработки, формировать требования к безопасности новых функций и консультировать команды по безопасному коду, архитектуре и требованиям ИБ.
• Проводить Code Review, анализировать результаты ручного и автоматизированного поиска уязвимостей, приоритизировать их устранение и контролировать исправления.
• Участвовать в расследовании инцидентов информационной безопасности.
Требования:• Высшее образование в области информационной безопасности и опыт практического анализа защищённости и экспертизы архитектурной документации от 4 лет.
• Глубокие знания основ информационной безопасности: протоколов, средств защиты информации, PKI и принципов работы криптографических алгоритмов.
• Экспертиза в Application Security: выявление и устранение уязвимостей OWASP Top 10, OWASP Mobile Top 10, CWE Top 25, знание практик повышения защищённости веб-приложений.
• Опыт анализа архитектуры информационных систем и проектной документации, включая выявление уязвимостей в бизнес-логике, разработку и обоснование механизмов защиты.
• Понимание архитектуры современных веб-приложений, микросервисов, контейнеризации, CI/CD и процессов безопасной разработки (SSDLC). Навыки программирования и анализа исходного кода.
• Знание регуляторных требований в области ИБ, умение определять их применимость к разрабатываемому функционалу и преобразовывать в конкретные технические меры защиты.
• Владение методологией риск-ориентированного подхода: качественная оценка рисков и моделирование сценариев угроз.
• Экспертное владение Burp Suite: использование кастомных расширений, построение многоэтапных атак и комбинирование техник.
• Развитые коммуникативные навыки: взаимодействие с бизнесом, ИТ и проектными командами, урегулирование разногласий, поиск компромиссов, аргументированная защита решений, проведение обсуждений и презентаций, конструктивная обратная связь и поддержание продуктивного диалога.
*✈* Откликнуться
Умный подбор, сопроводительные письма, советы по отказам — больше приглашений.
Навыки
- Threat Modeling
- Kubernetes
- CI/CD
- Microservices
- Risk Assessment
- Code Review
- PKI
- Cryptography
- Application Security
- Burp Suite
- OWASP Top 10
- SSDLC
Возможные вопросы на собеседовании
Проверка практических навыков работы с основным инструментом AppSec-инженера.
Расскажите о самом сложном сценарии атаки, который вы реализовали с помощью Burp Suite, используя кастомные расширения или цепочки запросов.
Оценка умения интегрировать безопасность в процесс разработки.
Как вы будете приоритизировать устранение уязвимостей в бэклоге разработки, если бизнес настаивает на скорейшем выпуске фичи?
Проверка навыков архитектурного анализа.
Какие специфические риски безопасности вы видите в переходе от монолитной архитектуры к микросервисной с использованием Kubernetes?
Оценка знаний в области моделирования угроз.
Какую методологию моделирования угроз (например, STRIDE или PASTA) вы предпочитаете и почему? Приведите пример выявленной угрозы бизнес-логике.
Проверка навыков безопасной разработки.
На что вы в первую очередь обращаете внимание при проведении ручного Code Review в проектах на Java или Python с точки зрения безопасности?
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
