Senior DevSecOps-инженер

Что за роль

OUTKOD ищет Senior DevSecOps-инженера для внедрения практик безопасности в процессы разработки и эксплуатации. Специалист будет взаимодействовать с разработчиками и DevOps-командой, автоматизировать проверки и помогать защищать инфраструктуру на всём пути — от исходного кода до production. Компания работает над проектами в финтехе, телекоме и ритейле; подробности о проектах предоставляются кандидатам.

Что предстоит делать

• Встраивать в CI/CD анализ исходного кода и зависимостей, сканирование контейнерных образов и поиск секретов.
• Настраивать проверки безопасности так, чтобы результаты были полезными для команд, а количество ложных срабатываний — обоснованным.
• Обеспечивать безопасность Linux-систем, Docker, Kubernetes и облачной инфраструктуры.
• Управлять секретами, правами доступа и конфигурациями сред.
• Выявлять уязвимости, оценивать их критичность и помогать командам устранять риски.
• Проверять Infrastructure as Code и создавать безопасные шаблоны развёртывания.
• Участвовать в разборе инцидентов, улучшать мониторинг событий безопасности, документировать решения и объяснять разработчикам безопасные практики.

Что потребуется

• Практический опыт в DevSecOps либо опыт DevOps/SRE с задачами информационной безопасности.
• Уверенное знание Linux, сетевых технологий, HTTP/HTTPS, TLS и принципов разграничения доступа.
• Опыт работы с Docker, Kubernetes и CI/CD-системой, например GitLab CI, GitHub Actions или Jenkins.
• Опыт с Terraform и/или Ansible, навыки автоматизации на Python, Bash или Go.
• Понимание SAST, DAST, SCA, сканирования контейнеров и управления уязвимостями.
• Умение ясно объяснять риски и предлагать выполнимые способы их снижения.

Будут полезны знания Vault, Trivy, Semgrep, SonarQube, OWASP ZAP, AWS, Azure или GCP, а также политик Kubernetes, OPA/Kyverno и Falco. Дополнительным преимуществом станет знакомство с SBOM, подписанием артефактов, безопасностью цепочки поставки ПО, моделированием угроз и реагированием на инциденты.

Что важно знать

В работе сочетаются инженерная автоматизация и прикладная информационная безопасность: важно не только находить уязвимости, но и помогать разработчикам устранять риски без избыточных препятствий для поставки изменений. Описание охватывает проверки кода и зависимостей, инфраструктуру и реагирование на инциденты, поэтому роль затрагивает несколько этапов жизненного цикла ПО.