Lead Application Security Engineer

Что за роль

Lead Application Security Engineer отвечает за безопасность разрабатываемых и используемых приложений компании. Основной фокус — развитие процессов безопасной разработки, статический анализ Web-приложений и поиск уязвимостей на разных этапах разработки. В работе сочетаются аудит кода, проектирование защищённой архитектуры и взаимодействие с разработчиками.

Что предстоит делать

• Развивать S-SDLC в части статического анализа Web-приложений, включая настройку процессов и автоматизацию проверок.
• Проводить аудиты безопасности сервисов: выполнять ручной анализ, проверять код статическими анализаторами и искать секреты.
• Участвовать в проектировании безопасной архитектуры продуктов и формализовывать требования безопасности.
• Выявлять уязвимости в приложениях, консультировать разработчиков и контролировать устранение найденных проблем.
• Разрабатывать, внедрять и сопровождать системы и процессы информационной безопасности для анализа кода и поиска уязвимостей.
• Обучать сотрудников требованиям информационной безопасности при разработке приложений.

Что потребуется

• Умение самостоятельно находить уязвимости в Web-приложениях и экспертно разбираться в клиентских и серверных уязвимостях, включая OWASP Top 10.
• Понимание принципов работы и настройки инструментов статического анализа Web-приложений.
• Знание циклов CI/CD и DevOps, в частности GitLab CI.
• Понимание хотя бы одного языка программирования; предпочтительны Java и Python. Также указаны Bash, Docker, Python или Go.
• Знание систем аутентификации и авторизации: PKI, LDAP, OAuth, SAML и двухфакторная аутентификация.
• Навык чтения исходного кода и опыт работы со сканерами уязвимостей, например Burp Suite и OWASP ZAP.

Что важно знать

В описании подробно обозначены направления ответственности и технические требования, включая анализ Web-приложений, интеграцию проверок в CI/CD и помощь разработчикам в устранении уязвимостей. Зарплата обсуждается на собеседовании; конкретная сумма не указана.