Application Security Architect

В качестве Application Security Architect вы будете старшим авторитетом по проектированию безопасности этих продуктов. Вы зададите направление того, как мы защищаем программное обеспечение в масштабе: будете отвечать за шаблоны и стандарты secure‑by‑design, вести threat modelling и архитектурные обзоры, а также определять базовый уровень безопасности приложений, к которому будут привязываться инженерные команды.

Тесно сотрудничая с командой Product Security и директором Product Security, вы будете руководить процессами AppSec и формировать видение своей области без прямого линейного управления. Вы будете рассматривать безопасность как совместный результат, а не как барьер, балансируя сильную защиту с удобством для разработчиков и скоростью доставки, и будете добиваться принятия через поддержку, а не через обязательные предписания.

Обязанности:

Security Architecture & Standards:

• Определять и поддерживать референс‑архитектуры secure‑by‑default для типовых шаблонов: веб‑приложения, мобильные бек‑энды, микросервисы, публичные и партнёрские API, а также сервисы, основанные на событиях

• Неcтавить ключевые решения по архитектуре безопасности приложений: аутентификация и авторизация, управление сессиями, безопасность API, управление секретами, изоляция многопользовательской среды и журналирование и аудит безопасности

• Руководить редизайном пользовательской аутентификации и внедрением функций безопасности в продукт

• Разрабатывать и распространять стандарты безопасности приложений, рекомендации по безопасному кодированию, стандарты конфигураций, переиспользуемые шаблоны проектирования и записи архитектурных решений (ADRs), которые инженеры могут применять без присутствия эксперта по безопасности

• Определять внутренние политики безопасного использования AI‑ассистированных и vibe‑coding инструментов

• Формировать требования к безопасности для приобретаемых технологий и руководить их безопасной интеграцией

Threat Modelling & Design Review:

• Создавать и поддерживать операционную модель threat‑modelling, охватывающую охват, частоту, шаблоны и фасилитацию, пропорционально уровню риска каждого продукта

• Отвечать за этап security review в процессе одобрения новых продуктов, включая проектирование архитектуры и конфигурацию

• Руководить обзорами дизайна для инициатив с высоким воздействием: новые продукты, новые потоки аутентификации, платежные и потоки чувствительных данных, миграции платформ и крупные рефакторинги

• Выявлять риски на уровне дизайна и согласовывать практические, приоритетные меры смягчения с инженерными командами

Secure SDLC, DevSecOps & Supply Chain:

• Оценивать текущее состояние безопасности приложений, предлагать улучшения и продвигать стратегию secure SDLC совместно с руководством Engineering и Security

• Курировать процессы AppSec и отвечать за стратегию инструментов (SAST, DAST, IAST, SCA и сканирование секретов), включая то, как находки возвращаются к инженерам

• Внедрять контрольные меры безопасности как guardrails в CI/CD через policy‑as‑code с согласованным принудительным выполнением и путями эскалации

• Сотрудничать с DevOps для организации управления репозиториями и предотвращения атак цепочки поставок, охватывая безопасное использование компонентов, управление зависимостями, SBOMs и целостность сборок

• Улучшать безопасность наших внутренних инструментов

Требования:

Опыт:

• 8+ лет в сфере технологий, включая 5+ лет в специализированной роли по безопасности приложений или продукта, с сильным инженерным бэкграундом и практической ответственностью за архитектуру или дизайн

• Доказанный опыт создания, документирования и внедрения стандартов безопасности, шаблонов и лучших практик в сложной инженерной организации

• Глубокий, демонстрируемый опыт threat‑modelling в рамках портфелей продуктов

Technical:

• Опыт проектирования и внедрения secure SDLC в облачно‑нативной среде. Требуется сильное знание AWS, приветствуется опыт работы с GCP или другими облаками

• Твердое владение стандартами OWASP (Top 10, ASVS) и практикой DevSecOps, включая инструменты AppSec (SAST, DAST, IAST, SCA, сканирование секретов) и управление уязвимостями

• Глубокое понимание современных распределённых архитектур: микросервисы, REST и GraphQL API, системы, основанные на событиях, OAuth2/OIDC и контейнеризованные нагрузки (Docker, Kubernetes). Вы должны уметь рассуждать о их границах доверия, поверхности атаки и потоках данных между веб‑ и мобильными клиентами

Взаимодействие:

• Исключительная способность влиять и согласовывать действия инженерных команд без прямой власти, а также проводить брифинги для инженеров и руководителей

• Прагматизм и стратегическое мышление: вы балансируете идеальное с достижимым, защищаете пропускную способность доставки и превращаете долгосрочное направление в практический план

• Чёткая письменная коммуникация через диаграммы, ADRs и шаблоны, плюс опыт наставничества и кросс‑функционального сотрудничества

Будет плюсом:

• Опыт работы в финтехе, торговле, брокерской деятельности или другой регулируемой среде

• Знание релевантных регуляторных и комплаенс‑требований: операционная устойчивость FCA и CySEC, GDPR и PCI DSS

• Безопасность цепочки поставок программного обеспечения, включая SBOMs и целостность артефактов и сборок

• Опыт обеспечения безопасности функций продукта, интегрированных с AI, или использования AI для масштабирования программы AppSec

• Опыт создания или ведения программы Security Champions

• CSSLP, GIAC GDSA или практическая сертификация в области offensive security. Сертификации ценятся, но вторичны по сравнению с продемонстрированным опытом

What you'll get in return:

• Вы станете частью компании, которая заботится о балансе работы и личной жизни

• Годовой бонус, основанный на цикле оценки эффективности

• Щедрая политика ежегодного отпуска

• Медицинская страховка и пенсионный фонд, с дополнительными пакетами льгот в зависимости от местоположения

• Гибридный режим работы (3 дня в нашем современном офисе и 2 дня полностью удалённо)

• Всеобъемлющая политика Workation с 30 дополнительными удалёнными днями

• Возможность взять два дополнительных оплачиваемых дня отпуска в год для волонтёрской деятельности.