DevSecOps Lead
Описание
В Компании PIM Solutions https://pimsolutions.ru открыта вакансия DevSecOps Lead Раньше у нас был десяток инстансов и тройка железок. Сегодня это три облака, пара десятков Kubernetes-кластеров, 400+ виртуальных машин, 300+ репозиториев и десятки проектов на PHP, Scala, C# и Python, с фронтендом на Vue и React. PCI DSS стал частью повседневной работы, а к нему добавился ГОСТ Р 57580. Чем предстоит заниматься Стратегия и процессы. Выстроить DevSecOps-направление: роадмап, приоритеты и работающие практики. Перестроить SDLC так, чтобы безопасность закладывалась уже на постановке задачи: моделирование угроз, security review, проверки в пайплайне, контроль перед продом. Сканирование на всех уровнях. SAST, SCA, DAST, образы, IaC и инфраструктура для всех наших языков. Делать это общими шаблонами GitLab CI на 300+ репозиториев, а не 300 самописными вариантами, и так, чтобы разработчики не мечтали всё отключить. Управление уязвимостями от обнаружения до закрытия, с приоритетами, а не отчётом на 300 страниц. Безопасный Kubernetes. RBAC, сетевые политики, admission-политики, образы только из доверенных реестров, одинаково во всех кластерах. WAF с нуля перед публичными сервисами: выбрать решение и настроить правила под наши приложения, не блокируя легитимных клиентов. Облака и секреты. Единые правила для Google Cloud, Yandex Cloud и Selectel. Секреты только в Vault, а не в репозиториях и переменных окружения «на время». Данные и платформы. Доступы в Data Mesh, безопасные настройки по умолчанию для ZeroCode-платформы. Аудиты PCI DSS и ГОСТ Р 57580. Поддерживать контур, собирать доказательства, закрывать замечания, чтобы аудит проверял то, что мы и так делаем каждый день, а не превращался в аврал. Процедуры ИБ (доступы, изменения, инциденты, уязвимости): написать и внедрить так, чтобы их выполняли, а не доставали к аудиту. Культура безопасности. Короткие регулярные обучения, понятные памятки, secure coding с разбором OWASP Top 10 на примерах из нашего кода. Работа с SRE. Общий мониторинг и алертинг в Prometheus, Grafana и ELK, где видно не только падения, но и подозрительную активность. Общие разборы инцидентов и изменения, которые повышают и надёжность, и безопасность. Легаси. Там, где код быстро не переписать, внедрять компенсирующие меры, чтобы он не оставался самым слабым местом. Связующее звено между разработкой, эксплуатацией, SRE и CTO. Предлагать современные решения и автоматизировать всё, что можно. Что важно в вашем опыте 1-2 года релевантного опыта в DevSecOps опыт выстраивания процессов ИБ, прежде всего Secure SDLC, которыми реально пользуются встраивание сканеров безопасности (SAST, DAST, SCA, образы, IaC, поиск секретов) в CI/CD защита Docker и Kubernetes публичные облака (Google Cloud, Yandex Cloud, Selectel или аналогичные): IAM, VPC, сетевые политики, managed-сервисы Infrastructure as Code: Terraform, Ansible или аналоги опыт с WAF: внедрение, настройка правил, разбор ложных срабатываний HashiCorp Vault (или аналоги), PKI/TLS практики безопасности на деле: наименьшие привилегии, сегментация сети, харденинг, шифрование, управление уязвимостями мониторинг, логи и алертинг (Prometheus, Grafana, ELK или аналоги) скрипты на bash и Python опыт администрирования Linux будет преимуществом: хорошее знание подсистем (диск, сеть, файлы, процессы) и понимание, как их защищают и как ломают умение договариваться с dev, ops и SRE и влиять без прямого подчинения: аргументами, а не регламентами умение объяснять безопасность простым языком, и разработчику, и бухгалтерии, а CTO говорить на языке рисков и денег самостоятельность, любознательность и готовность делиться опытом Будет большим плюсом прохождение аудитов PCI DSS (сегментация CDE, ASV-сканы, пентесты) и ГОСТ Р 57580 ISO 27001, 152-ФЗ построение security-функции с нуля запуск security awareness-программ, включая учебные фишинговые рассылки наём и развитие инженеров понимание сборки и зависимостей в JVM (Scala, sbt), .NET, Python и npm SIEM, IDS/IPS, runtime-защита контейнеров (Falco или аналоги) сертификация CKS опыт мультиоблачной и гибридной инфраструктуры Что у нас 15 лет на рынке, 200 человек в компании, из них 50 в ИТ прямое подчинение CTO и работа со всеми командами на равных и легаси, и новые проекты: найдётся дело и тем, кто любит наводить порядок, и тем, кто любит строить с нуля стек: PHP, Scala, C#, Python, Vue 2/3, React, PostgreSQL, Redis, RabbitMQ, Kafka, GitLab CI, Vault, Prometheus, Grafana, ELK собственный Data Mesh на Airflow и корпоративная ZeroCode-платформа регулярные аудиты PCI DSS и ГОСТ Р 57580: безопасность у нас требование аудиторов, а не галочка Условия гибридный формат, офис в Москве у м. «Краснопресненская» официальное оформление по ТК РФ зарплата обсуждается по итогам собеседования, в зависимости от компетенций