Аналитик информационной безопасности (Appsec/devsec)
Описание
В 2022 году Московской бирже исполнилось 30 лет. Мы появились вместе с современной Россией и за эти годы с нуля создали рынок инвестиций. Сегодня миллионы людей и тысячи компаний доверяют нам и пользуются нашей инфраструктурой. Ежедневно на наших торговых платформах совершаются миллионы транзакций в минуту – без задержек, без перебоев. Мы храним в депозитарии цифровые записи о каждом активе, который торгуется на бирже. Мы следим за тем, чтобы все операции соответствовали правилам торгов и требованиям регуляторов. А еще мы активно развиваемся и давно вышли за рамки классического биржевого бизнеса. Мы разрабатываем и поддерживаем платформы, которые соединяют финансовые компании и клиентов, Мы идем на внебиржевой рынок и создаем на нем удобные сервисы, Мы открываем новые возможности для инвесторов, корпораций, банков. Мы развиваем финансовую культуру страны. В #moexteam уже больше 2200 человек: ИТ-специалисты и эксперты по развитию рынков, продуктовые и проектные менеджеры, финансисты и юристы, маклеры и многие другие. Мы разные, но всех нас объединяет общая цель – помочь людям и компаниям управлять деньгами, используя передовые технологии и знания.Чем предстоит заниматься: Аудит и оптимизация Secure SDLC – проанализировать текущие процессы разработки, выявить «узкие места» и построить улучшенные flow‑ы с учётом требований безопасности. Внедрение DevSecOps‑инструментов – организовать работу SAST, DAST, SCA, Secret‑Scanning, интегрировать их в CI/CD‑конвейеры, обеспечить автоматический контроль качества кода. Secure by Design – участвовать в проектировании архитектуры новых сервисов, внося рекомендации по защите данных и криптографическим механизмам. Регуляторное соответствие – контролировать соблюдение внутренних и внешних (ФСБ, ФСТЭК и др.) требований, готовить отчёты, получать заключения ФСБ. Защита исходного кода и Supply Chain – проводить регулярный анализ Open‑Source библиотек и компонентов, оценивать уязвимости, лицензии и потенциальные векторы атак; формировать план по их устранению. Оценка влияния СКЗИ – проверять, как встраивание средств криптографической защиты влияет на безопасность продукта, документировать результаты. Мы ожидаем, что у вас Опыт ≥ 3‑5 лет в AppSec/DevSecOps Практические навыки работы с SAST/DAST/SCA Понимание Secure SDLC и умение внедрять его в мульти‑командных проектах. Знание регуляторных требований РФ в области ИБ (ФСБ, ФСТЭК, PCI‑DSS, GDPR) и опыт подготовки соответствующей документации. Умение проводить Supply‑Chain Security‑оценку: проверка Open‑Source компонентов, оценка CVE, анализ лицензий, построение «exploitability»‑моделей. Навыки Secure Architecture: концепции «Zero Trust», «Defense in Depth», криптографические стандарты (СКЗИ, ГОСТ). Хорошие коммуникативные способности: взаимодействие с разработчиками, архитекторами и аудиторами, умение доносить технические требования простым языком.