AppSec Technical Lead

Что за роль

AppSec Technical Lead отвечает за техническое развитие направления Application Security и помогает команде инженеров выстраивать эффективные проверки безопасности приложений. Важная часть работы — интегрировать security-практики в процессы разработки, снижать шум от сканеров и помогать разработчикам разбираться с найденными уязвимостями.

Что предстоит делать

• Быть техническим ориентиром для команды AppSec-инженеров: помогать принимать архитектурные решения, проводить ревью и развивать экспертизу команды.
• Наставлять инженеров в областях AppSec, DevSecOps, security code review и автоматизации.
• Планировать работу совместно с Product Owner и расставлять приоритеты с учётом технических рисков, бизнес-контекста и загрузки команды.
• Синхронизироваться с Product Owner по статусам, блокерам, рискам, roadmap, техническим ограничениям и потребностям команды.
• Интегрировать проверки безопасности в CI/CD, разрабатывать и поддерживать правила для SAST-инструментов.
• Улучшать процессы SAST, SCA, DAST и MAST: повышать качество проверок, проводить triage, готовить отчётность и сокращать количество false positives.
• Создавать автоматизацию для интеграции сканеров, обработки и обогащения результатов, формирования метрик; исследовать инструменты проверки безопасности приложений.
• Поддерживать разработчиков в исправлении уязвимостей и делать результаты security-проверок понятнее и полезнее.

Что потребуется

• От четырёх лет опыта в Application Security либо сопоставимый опыт разработки с последующим переходом в безопасность.
• Практика технического лидерства, наставничества или координации AppSec- и security-инженеров.
• Глубокое понимание secure SDLC, shift-left security, DevSecOps, OWASP Top 10, OWASP ASVS и OWASP Mobile Top 10.
• Опыт с SAST, SCA, DAST и/или MAST, интеграцией проверок в CI/CD и анализом результатов сканирования, включая валидацию уязвимостей и поиск ложных срабатываний.
• Навыки security code review на Java/Kotlin, Go или Python; уверенное владение одним из языков Python, Java или Go и работа с Bash.
• Понимание микросервисов, REST/gRPC API, Kubernetes и контейнеризации; знание рисков мобильных приложений и опыт с MAST-инструментами.
• Опыт анализа Android- или iOS-приложений будет преимуществом. Также требуется инструментальное владение AI для анализа, генерации и автоматизации.

Что важно знать

Вакансия объединяет техническое лидерство с практической AppSec-работой: от анализа результатов SAST/SCA/DAST/MAST до автоматизации и взаимодействия с разработчиками. В описании обозначены ключевые стандарты, инструменты и языки; отдельно выделена безопасность мобильных приложений и приоритизация рисков.