Senior Security Engineer
Описание
Мы - международная IT-компания с главным офисом в Санкт-Петербурге и распределенной командой по всему миру. Наш опыт в IT-разработке финтех решений насчитывает более 10 лет. Мы создаем продукты, которыми пользуются миллионы людей по всему миру. Мы ищем технически сильного специалиста по информационной безопасности, который поможет внедрить практики безопасной разработки и эксплуатации систем, провести аудит и организовать устранение выявленных рисков. Наша инфраструктура включает AWS, Kubernetes, микросервисный backend, веб- и мобильные приложения, публичные сайты и внутренние корпоративные системы, в том числе финансовые. Мы используем Go, React / Next.js, React Native, PostgreSQL и Cloudflare, развиваем геораспределённую инфраструктуру. Чем предстоит заниматься: Проводить аудит внутренних систем и процессов. Проверять доступы к облачной инфраструктуре, репозиториям, CI/CD, базам данных и внутренним сервисам. Выстраивать безопасную работу с секретами. Проверять репозитории, их историю и CI/CD на открытые ключи, токены и пароли. Помогать организовать безопасное хранение, выдачу и ротацию секретов, действия при утечках и предотвращение повторных случаев. Определять и внедрять меры защиты данных. Проверять права доступа, шифрование баз данных и резервных копий, защиту данных при передаче и использование чувствительных данных в тестовых средах. Внедрять регулярные проверки безопасности. Подбирать необходимые инструменты проверки секретов, зависимостей, кода, контейнеров и конфигураций. Помогать командам применять безопасные подходы в ежедневной работе: проводить разборы практических случаев, готовить понятные рекомендации и включать необходимые проверки в существующие процессы. Анализировать безопасность публичных приложений и API, аутентификации и авторизации, платёжных интеграций и входящих запросов от внешних систем. Подтверждать проблемы, определять приоритет, предлагать практические исправления и проверять результат их внедрения. Консультировать архитектора и команды. Помогать выбирать безопасные способы хранения данных, управления доступами и взаимодействия систем. Участвовать в расследовании инцидентов безопасности. Анализировать причины и последствия, помогать устранять проблему. Что ожидаем от кандидата: Практический опыт внедрения технических практик безопасности в командах разработки и эксплуатации. Опыт проведения аудита приложений, инфраструктуры и доступов с подготовкой конкретных рекомендаций по устранению рисков. Знание принципов управления доступами: минимально необходимые права, разделение полномочий, MFA, управление сервисными учётными записями, выдача и отзыв доступов. Опыт работы с секретами: поиск утечек, хранение и ротация ключей и токенов, защита секретов в репозиториях и CI/CD. Понимание защиты данных: шифрование при хранении и передаче, управление ключами шифрования, безопасность резервных копий и ограничение доступа к чувствительным данным. Понимание безопасности облачной и контейнерной инфраструктуры, включая сетевую изоляцию, права доступа и безопасность конфигураций. Знание типовых уязвимостей веб-приложений и API, механизмов аутентификации и авторизации, практических способов проверки и защиты. Умение читать исходный код хотя бы на одном современном языке программирования и обсуждать исправления с разработчиками. Навыки работы с Linux, инструментами проверки безопасности, конфигурациями и логами. Будет плюсом: Опыт обеспечения безопасности AWS, включая IAM, KMS, S3, VPC, Security Groups и CloudTrail. Практический опыт работы с Kubernetes: RBAC, сетевая изоляция, защита секретов и контейнеров. Опыт настройки средств управления секретами и сканирования репозиториев на их утечки. Опыт защиты PostgreSQL и Amazon Aurora, включая доступы, шифрование и резервные копии. Опыт внедрения SAST, DAST, SCA и проверок контейнеров и инфраструктурных конфигураций в CI/CD. Опыт анализа безопасности Go, React / Next.js и React Native. Опыт проверки платёжных интеграций и финансовых систем. Опыт работы с Cloudflare, WAF и защитой публичных API. Опыт проведения пентестов или взаимодействия с внешними командами пентеста. Навыки автоматизации на Python, Go или Bash. Практический опыт применения OWASP ASVS и CIS Benchmarks. Что предлагаем: Абсолютное доверие с нашей стороны Уровень дохода обсуждаем лично - учитываем ваши опыт и цели Официальное трудоустройство, белая заработная плата Любой формат работы на выбор (офис / гибрид / удаленка). Гибкое начало рабочего дня (8.30 - 10.30) ДМС со стоматологией Компенсация спорта и обучения Компенсация больничных до 100% Участие в конференциях, тренингах и обучениях; Незабываемые корпоративы и увлекательные тимбилдинги Уютный офис возле станции метро «Чкаловская» с кофе-поинтами, массажным креслом и свежими завтраками Крутая дружная команда, которая всегда тебя поддержит И все, что нужно для безопасной счастливой жизни. Если вам интересно взять на себя важную роль в развитии бизнеса - откликайтесь, будем рады познакомиться!