Обязанности:

  • Построение, настройка и масштабирование процессов безопасной разработки (SSDLC) на уровне компании.
  • Интеграция AppSec-инструментов (SAST, SCA, DAST, сканеры секретов) в CI/CD-конвейеры.
  • Управление жизненным циклом уязвимостей: triage, CVSS-оценка, настройка фильтров и исключений, контроль SLA и retest.
  • Аудиты безопасности кода и конфигураций, сопровождение внешних аудитов и пентестов.
  • Консультирование и обучение команд разработки, продвижение Security by Design и культуры ответственного кода.

Требования:

  • Опыт внедрения и настройки SAST/SCA/DAST-инструментов: Semgrep, Gitleaks, Trivy, Nuclei, OWASP ZAP, SonarQube, SVACE или аналогов.
  • Знание OWASP Top 10, ASVS, CVSS v3 и типов уязвимостей, включая XSS, SQLi, SSRF, небезопасную десериализацию и ошибки контроля доступа.
  • Понимание настройки проверок в CI/CD, включая GitLab CI и GitHub Actions.
  • Умение читать код и проводить ревью на Java, Python, Go и Scala для обнаружения уязвимостей.
  • Опыт работы с HashiCorp Vault будет преимуществом.
  • Умение объяснять риски разработчикам и бизнесу, самостоятельно выстраивать процессы, конструктивно разрешать конфликты и отличать реальные бизнес-риски от теоретических уязвимостей.
  • Опыт: 3–6 лет.