Задачи:
- Проводить security review сервисов, интеграций и публичных API до выхода в прод, включая ручной разбор критичного кода.
- Проводить threat modeling новых фич вместе с продуктовыми командами на этапе дизайна.
- Развивать проверки в цикле разработки: статический анализ, зависимости, поиск секретов, покрытие, правила и разбор находок с командами.
- Создать единый процесс управления уязвимостями: реестр, приоритеты, SLA, ретест и bug bounty.
- Обеспечивать безопасность AI-интеграций и правил доступа технических и агентских учётных записей.
- Проводить пентесты и аудиты, доводить находки до системного исправления.
- Разрабатывать и поддерживать стандарты безопасной разработки, гайдлайны и обучение команд.
Требования:
- Опыт в application security от 3 лет: ревью кода и архитектуры, SAST, DAST, SCA, OWASP.
- Уверенные навыки ручного тестирования и работы со статическим анализом, включая написание собственных правил.
- Понимание авторизации: OAuth, OIDC, JWT, scope-токены и делегирование прав.
- Умение читать код на PHP, Go и JavaScript и автоматизировать задачи на Python или Bash.
- Умение добиваться результата от команд без прямого подчинения, в том числе через security champions.
- Интерес к безопасности LLM-приложений: prompt injection и доступ агентов к данным.
- Русский и английский на рабочем уровне.
Условия: офис на Кипре, помощь с переездом.