Специалист по кибербезопасности

Что за роль

Специалист отвечает за кибербезопасность Суточно.ру: от защиты приложений и инфраструктуры до реагирования на инциденты и соблюдения требований к персональным данным. Важная часть работы — встроить контроль безопасности в процессы разработки так, чтобы он помогал снижать риски и не создавал лишних препятствий для выпуска продуктовых изменений.

Что предстоит делать

• Встраивать практики Application Security и DevSecOps в CI/CD: настраивать проверки SAST, DAST и SCA, контроль секретов, а также участвовать в архитектурном ревью новых функций и API.
• Координировать внешние пентесты и Bug Bounty, отслеживать уязвимости и контролировать их устранение.
• Развивать защиту серверной инфраструктуры на Linux и Docker/Kubernetes, сетевого периметра, WAF и средств противодействия DDoS-атакам и ботам.
• Развивать управление доступами IAM/PAM, сбор событий безопасности и алертинг на базе SIEM или стека логирования.
• Расследовать инциденты информационной безопасности совместно с инженерами DevOps и защищать внутренний контур и рабочие места сотрудников.
• Повышать осведомлённость сотрудников, внедрять технические меры для выполнения требований 152-ФЗ и проводить аудиты PCI DSS и ISO/IEC 27001.
• Формировать дорожную карту ИБ с учётом бизнес-целей, выбирать решения и вендоров, планировать бюджет и развивать зрелость процессов безопасности.

Что потребуется

• Опыт работы в информационной безопасности от 3 лет; особенно ценен опыт в продуктовых IT-компаниях, e-commerce, travel-tech или финтехе с высокими нагрузками.
• Понимание уязвимостей веб- и мобильных приложений, микросервисных API, OWASP Top 10 и OWASP API Security.
• Уверенные знания Linux и его харденинга, контейнерной безопасности Docker и Kubernetes, сетевых протоколов.
• Практический опыт со сканерами уязвимостей, SAST/DAST/SCA, системами управления секретами, например HashiCorp Vault, WAF и SIEM/ELK.
• Навыки автоматизации на Python, Go или Bash, а также использования ИИ-моделей и агентов для внутренних пентестов.
• Понимание 152-ФЗ и опыт аудитов по PCI DSS и ISO/IEC 27001; способность переводить нормативные требования в технические решения.
• Автономность, бизнес-ориентированность и умение согласовывать уровень защиты со скоростью разработки и выпуска функций.

Что важно знать

Зона ответственности охватывает безопасность всей компании, а не только отдельного приложения или инфраструктурного компонента. В описании отдельно отмечена возможность развиваться до руководителя функции информационной безопасности. Условия оплаты обсуждаются на собеседовании.