Application Security և Secure Development

Описание вакансии

Участвовать в построении, внедрении и непрерывном развитии процессов Application Security, Secure SDLC и DevSecOps в Банке, включая разработку необходимых технических средств контроля, инструментов, интеграций и рабочих процессов.

Участвовать в проектировании и внедрении процесса Secure Software Development Lifecycle (Secure SDLC), обеспечивая включение требований информационной безопасности на всех этапах жизненного цикла разработки программного обеспечения: Requirements, Design, Development, Testing, Deployment и Maintenance.

Проводить оценку безопасности новых и действующих Web Application, API, Backend/Frontend-компонентов и других программных решений Банка.

Выполнять Source Code Security Review с целью выявления уязвимостей, небезопасных практик программирования, ошибок конфигурации и других проблем безопасности в программном коде.

Проводить и развивать проверки SAST (Static Application Security Testing), DAST (Dynamic Application Security Testing), SCA (Software Composition Analysis), Secret Scanning и другие проверки Application Security.

Анализировать результаты SAST, DAST, SCA и других AppSec-инструментов, выполнять Triage и Validation для отделения реальных уязвимостей от False Positive.

Классифицировать выявленные уязвимости Application Security и определять приоритеты их устранения с учетом Severity, Exploitability, Application Criticality, Data Sensitivity и возможного влияния на бизнес.

Организовывать передачу выявленных уязвимостей соответствующим командам разработки, контролировать ход их устранения и проводить повторные проверки (Retest / Verification).

Участвовать в процессах Code Review с точки зрения информационной безопасности, уделяя особое внимание OWASP Top 10, OWASP API Security Top 10, OWASP ASVS и принципам Secure Coding.

Анализировать Third-Party Library, Packages и другие Dependencies, используемые в программных решениях, для выявления известных уязвимостей, рискованных и устаревших компонентов.

Предоставлять разработчикам практические технические рекомендации по выявленным уязвимостям, их первопричинам (Root Cause) и способам устранения.

Участвовать в Architecture / Design Security Review новых приложений, сервисов и существенных изменений с целью выявления проблем безопасности на максимально ранних этапах разработки.

Участвовать в построении и проведении Threat Modeling для выявления потенциальных Threat Actor, Attack Surface, Trust Boundary, Attack Scenario и необходимых Security Control.

Оценивать реализацию механизмов Authentication, Authorization, Access Control, Session Management, Input Validation, Cryptography, Secrets Management, Logging, Error Handling и других механизмов Application Security.

Оценивать механизмы API Security, включая Authentication/Authorization, Object/Function Level Access Control, Input Validation, Rate Limiting и другие соответствующие средства контроля.

Участвовать в ручном тестировании безопасности Web Application и API для проверки результатов автоматизированных инструментов и выявления дополнительных проблем безопасности.

Участвовать в разработке и постоянном совершенствовании Secure Coding Standards, Application Security Requirements, чек-листов и Developer Security Guidelines.

DevSecOps и безопасность CI/CD

Участвовать в построении и развитии процессов DevSecOps в Банке, максимально интегрируя и автоматизируя проверки безопасности в процессы разработки и поставки программного обеспечения.

Участвовать в проектировании, оценке и постоянном совершенствовании безопасности CI/CD Pipeline.

Интегрировать SAST, DAST, SCA, Secret Scanning и другие проверки Application Security в CI/CD Pipeline.

Участвовать в разработке и внедрении Security Quality Gates, определяя соответствующие критерии безопасности для этапов Build, Test и Deployment.

Участвовать во внедрении средств контроля безопасности для Repository и CI/CD Pipeline, включая Access Control, Branch Policies, Pull Request / Code Review Requirements, Pipeline Permissions и другие соответствующие механизмы.

Участвовать в формировании процессов безопасного использования и контроля доступа к CI/CD Service Account, Service Connection, Token, Credentials и Secrets.

Участвовать во внедрении процессов выявления и безопасного управления Password, API Key, Token, Certificate/Private Key и другими Secrets в программном коде, Repository и CI/CD Pipeline.

Участвовать в выборе, проведении Proof of Concept (PoC), тестировании, внедрении, настройке, интеграции и дальнейшем администрировании инструментов Application Security.

Настраивать и совершенствовать Rules, Policies, Profiles и Scan Configuration инструментов AppSec для сокращения количества False Positive и повышения качества обнаружения.

Участвовать в интеграции инструментов Application Security с системами управления задачами и проблемами (Task/Issue Management) и другими соответствующими системами.

Участвовать в построении и развитии процессов Docker Container Security, включая Container Image Scanning, Base Image Security, Dependency Analysis, Secrets Detection и Container Configuration Security.

Участвовать в формировании требований к использованию безопасных Base Image и средств контроля безопасности на протяжении всего жизненного цикла Container Image.

Разрабатывать Scripts, Integrations и решения Automation для автоматизации процессов Application Security и DevSecOps и повышения их эффективности.

Управление уязвимостями Application Security

Участвовать в построении и развитии процесса Application Security Vulnerability Management, обеспечивая управление полным жизненным циклом выявленных проблем: Detection → Validation → Prioritization → Remediation → Retest → Closure.

Обеспечивать единый учет и отслеживаемость проблем Application Security, выявленных с помощью SAST, DAST, SCA, Code Review, Security Testing и других источников.

Оценивать техническое и бизнес-влияние выявленных уязвимостей с учетом CVSS, CWE, Exploitability, Application Criticality и других соответствующих факторов.

Взаимодействовать с командами Development, DevOps, QA, Infrastructure, Security Engineering и Security Testing / Penetration Testing для внедрения требований безопасности и устранения выявленных проблем.

Участвовать в разработке и сборе метрик/KPI Application Security, включая Security Scan Coverage, Vulnerability Severity, Remediation Time, Open/Closed Vulnerabilities и другие соответствующие показатели.

Готовить технические и периодические отчеты о состоянии Application Security, выявленных уязвимостях, рисках и выполненных работах.

Участвовать в организации мероприятий Secure Coding / Application Security Awareness для разработчиков и других технических команд.

Отслеживать актуальные угрозы Application Security, уязвимости, CVE/CWE, методы атак (Attack Techniques) и практики безопасной разработки (Secure Development Practices), применяя соответствующие знания в процессах Application Security и DevSecOps Банка.

Требуемое образование и навыки

Для уровня Junior опыт работы в Application Security / DevSecOps не является обязательным при наличии соответствующих технических знаний и практических навыков, полученных в рамках Home Lab, обучающих программ, стажировок, личных проектов или другой практической деятельности.

Для уровня Middle желательно наличие не менее двух лет соответствующего опыта в Application Security, DevSecOps, Software Development, DevOps, Penetration Testing или смежной области.

Высшее образование в области информационной безопасности, кибербезопасности, разработки программного обеспечения, информационных технологий, компьютерных наук или смежной области либо эквивалентный профессиональный опыт.

Хорошее понимание основных принципов архитектуры Web Application и API.

Знание HTTP/HTTPS, TLS, DNS, Cookies, Sessions, Headers и основных механизмов веб-коммуникации.

Понимание основных принципов Authentication, Authorization, Access Control, Session Management и Identity Security.

Знание OWASP Top 10 и распространенных уязвимостей Web Application и классов атак, включая Injection, Cross-Site Scripting (XSS), Broken Access Control, SSRF, проблемы Authentication/Session и другие.

Знание OWASP API Security Top 10 и основных рисков безопасности, характерных для API.

Общее понимание OWASP ASVS и механизмов контроля Application Security.

Понимание принципов Secure Coding и основных причин возникновения проблем безопасности в программном коде.

Способность читать исходный код и анализировать его с точки зрения безопасности как минимум на одном языке программирования или в одной технологической среде, например .NET / C#, Node.js / JavaScript, React, PHP или другой.

Знание Git и основных принципов работы систем контроля версий, включая Branching, Pull Request и процессы Code Review.

Понимание основных принципов работы процессов CI/CD и Pipeline.

Знание принципов работы инструментов SAST, DAST, SCA и Secret Scanning, а также различий между их назначением.

Понимание Software Dependencies, Package Manager, Third-Party/Open-Source Component и связанных с ними рисков безопасности.

Знание Secrets Management и основных принципов безопасного управления Credentials в программном коде, Repository и средах CI/CD.

Понимание основных принципов Docker Container, Image, Registry и Container Security.

Базовые навыки работы с системами Linux и Windows.

Понимание процесса Vulnerability Management и основных принципов оценки Severity/Priority уязвимостей.

Знание понятий CVE, CWE и CVSS и основных принципов их применения.

Базовые практические навыки использования Burp Suite, OWASP ZAP или аналогичных инструментов Web Security Testing.

Практическое знание как минимум одного языка программирования или написания скриптов: Python, PowerShell, Bash, C#, JavaScript/Node.js или аналогичного.

Способность анализировать технические проблемы, выявлять их Root Cause и предоставлять разработчикам практические рекомендации по устранению.

Знание английского языка на уровне, достаточном для чтения технической документации, Security Advisory, CVE, документации инструментов и профессиональных материалов.

Аналитическое мышление, внимательность к деталям, способность к самостоятельному обучению и эффективному взаимодействию с командами Development, DevOps, QA, IT и Information Security.

Способность соблюдать установленные процессы Change Management, требования Access Control и границы ответственности при работе с Production-средами, программным кодом и процессами CI/CD.

Будет преимуществом

Практический опыт работы в области Application Security, DevSecOps, Secure Software Development, DevOps, Software Development или Penetration Testing.

Практический опыт работы с Azure DevOps, включая Repositories, Pipelines, Branch Policies, Pull Requests, Service Connections и соответствующие механизмы Access Control.

Опыт проведения Source Code Security Review.

Опыт работы с Semgrep, SonarQube/SonarCloud, Checkmarx, Fortify или аналогичными решениями SAST.

Опыт работы с OWASP ZAP, Burp Suite Professional, Invicti/Acunetix или аналогичными решениями DAST.

Опыт работы с Snyk, Mend, OWASP Dependency-Check или аналогичными решениями SCA / Dependency Scanning.

Опыт работы с Gitleaks, TruffleHog или аналогичными решениями Secret Scanning.

Опыт работы с Trivy, Grype или аналогичными инструментами Container/Image Security Scanning.

Опыт интеграции инструментов SAST/DAST/SCA/Secret Scanning в CI/CD Pipeline и внедрения Security Quality Gates.

Опыт проведения Source Code Security Review и подготовки рекомендаций по Secure Coding / Remediation для выявленных проблем.

Практический опыт тестирования безопасности Web Application и API.

Опыт участия в процессах Threat Modeling и применения методологии STRIDE или аналогичных подходов.

Знание вопросов безопасности OAuth 2.0, OpenID Connect, JWT, SAML и современных механизмов Authentication/Authorization.

Практический опыт работы с Docker и Container Security.

Опыт реализации Security Automation с использованием API, Webhook, CLI и других механизмов интеграции.

Опыт разработки скриптов и инструментов автоматизации процессов AppSec/DevSecOps на Python, PowerShell, Bash, C# или JavaScript/Node.js.

Знания или практический опыт работы с Kubernetes, технологиями оркестрации контейнеров и вопросами их безопасности.

Знания или практический опыт в области Cloud Security для Microsoft Azure, AWS или других облачных сред.

Знания или практический опыт в области Infrastructure as Code (IaC), Terraform, Ansible или аналогичных технологий.

Участие в программах Bug Bounty и практический опыт выявления реальных уязвимостей Web/API.

Опыт работы в области Application Security / DevSecOps в банковских, финансовых или других регулируемых организациях.

Знание PCI DSS, OWASP ASVS, OWASP SAMM, NIST Secure Software Development Framework (SSDF) или других стандартов и фреймворков безопасной разработки.

Наличие профессиональных сертификаций, таких как eWPT/eWPTX, Burp Suite Certified Practitioner (BSCP), HTB CWEE, OSWE или эквивалентных сертификаций в области Application Security / DevSecOps. Сертификация CKS или эквивалентная сертификация в области Container/Cloud Security будет дополнительным преимуществом.

Практическое обучение и развитие навыков на специализированных платформах PortSwigger Web Security Academy, Hack The Box, TryHackMe, PentesterLab, Microsoft Learn, OWASP, OffSec или аналогичных ресурсах. Выполненные лабораторные работы, Challenges, CTF, результаты Bug Bounty, опубликованные Write-up, проекты на GitHub и другие практические достижения будут дополнительным преимуществом.

Что мы ожидаем от кандидата

Практический интерес как к Application Security, так и к DevSecOps, а также способность не только проверять процессы разработки программного обеспечения с точки зрения безопасности, но и практически интегрировать средства контроля безопасности в эти процессы.

Данная должность не ограничивается анализом результатов готовых SAST/DAST-сканирований. Специалист будет участвовать в построении процессов Application Security и DevSecOps: от формирования Secure SDLC и проведения Source Code Security Review до внедрения автоматизированного Security Testing, Security Quality Gates, Dependency/Secret Scanning и других средств контроля в CI/CD Pipeline.

От кандидата уровня Junior ожидаются прочная техническая база, знания Web/Application Security и процессов Software Development, способность понимать исходный код и готовность развиваться как в направлении Application Security, так и в направлении DevSecOps.

От специалиста уровня Middle ожидаются самостоятельный анализ проблем Application Security, проведение Source Code Security Review, Validation результатов SAST/DAST/SCA, Threat Modeling, оценка уязвимостей и координация их устранения совместно с командами Development. Также ожидается активное и самостоятельное участие в построении процессов Secure SDLC и DevSecOps посредством проектирования, внедрения и развития CI/CD Security Controls, Security Quality Gates, AppSec Tooling, Automation и других соответствующих механизмов.

Любые работы в Production-средах, CI/CD-системах и с программным кодом должны выполняться в рамках установленных полномочий, с соблюдением процессов Change Management и определенных границ ответственности, без несогласованных изменений.

Сроки приема заявок

Начало приема заявок: 2 сентября 2026 года

Окончание приема заявок: 15 октября 2026 года