Senior Application Security Engineer

В качестве Senior/Staff Application Security Engineer вы будете повышать планку безопасности приложений по всей организации. Эта роль измеряется влиянием: насколько эффективно вы проектируете, автоматизируете и масштабируете процессы безопасности, чтобы многие инженерные команды могли создавать безопасные продукты по умолчанию.

Обязанности:

Security Architecture & Threat Modelling:

• Руководить обзорами архитектуры безопасности и моделированием угроз для новых и существующих систем, используя AI‑инструменты для ускорения, повышения согласованности и масштабируемости обзоров в разных командах

• Действовать как мультипликатор силы безопасности, влияя на стандарты, шаблоны и ограничения, позволяющие командам быстро работать и оставаться защищёнными

Security Automation & Tooling:

• Проектировать, создавать и автоматизировать масштабируемые процессы безопасности, которые инженерные команды могут использовать самостоятельно, охватывая обзоры безопасного дизайна, моделирование угроз, тестирование и рабочие процессы исправления

• Интегрировать и автоматизировать проверки безопасности в SDLC и CI/CD пайплайнах (SAST, DAST, SCA, secrets и IaC‑сканирование), настроенные для сильного сигнала и низкого трения

• Владеть и развивать инструменты безопасности, такие как DefectDojo и платформы SAST, DAST и SCA, максимизируя автоматизацию, покрытие и интеграцию

• Применять AI и LLM‑основанные инструменты к обзорам архитектуры, моделированию угроз, ревью кода и триажу уязвимостей, а также помогать определять безопасный способ их внедрения в команду

Security Testing & Vulnerability Management:

• Проводить и контролировать оценки безопасности веб‑ и мобильных приложений, API и облачной инфраструктуры, включая ручное тестирование и разработку PoC

• Выполнять сканирование уязвимостей во внутренней инфраструктуре и внешней границе, затем анализировать результаты, определять меры по исправлению и отслеживать закрытие проблем

• Поддерживать и триажировать программу Bug Bounty и внешние отчёты об уязвимостях, автоматизируя триаж там, где это возможно

• Участвовать и помогать вести red teaming и упражнения по наступательной безопасности

Enablement:

• Содействовать обмену знаниями о безопасной разработке, наставлять инженеров и проводить обучение для команд разработки и QA

Требования:

Опыт:

• 5+ лет в области безопасности приложений или продуктов, либо эквивалентный опыт, с подтверждённым влиянием на уровне senior или staff

• Доказанный опыт руководства обзорами архитектуры безопасности и моделированием угроз (например, STRIDE, attack trees, data‑flow analysis) в нескольких командах или продуктах

• Подтверждённая способность автоматизировать и масштабировать процессы безопасности, создавая инструменты, интеграции и самообслуживаемые рабочие процессы, снижающие ручные усилия

Technical:

• Сильные практические навыки тестирования безопасности, включая ревью кода и оценку безопасности веб‑, мобильных и API‑приложений, а также способность триажировать и проверять внешние отчёты об уязвимостях и заявки Bug Bounty

• Сильные навыки программной инженерии как минимум на одном языке (например, Python, Go, JavaScript), с умением создавать автоматизацию, а не только скрипты

• Глубокое понимание OWASP Top Ten, безопасного дизайна и лучших практик безопасного кодирования

• Опыт работы с SAST, DAST, SCA и платформами управления уязвимостями, а также их интеграции в CI/CD

• Хорошее понимание современных архитектур приложений: REST API, микросервисы, облачные системы и контейнеры

• Практический опыт применения AI и LLM‑инструментов к задачам безопасности, либо явный интерес и готовность к этому

Взаимодействие:

• Отличные коммуникативные и влияющие навыки: вы умеете объяснять концепции безопасности техническим и нетехническим заинтересованным сторонам и продвигать изменения без прямой власти

• Самоинициативный человек, который любит решать сложные задачи, создавать рычаги влияния через автоматизацию, наставлять других и укреплять культуру безопасности

Будет плюсом:

• Опыт защиты AI‑инфраструктуры: укрепление LLM и конвейеров агентов, подсказок, интеграций инструментов и MCP, а также конечных точек моделей от инъекций подсказок, утечки данных и небезопасных действий агентов

• Опыт защиты Kubernetes, включая укрепление кластера, RBAC, сетевые политики, контроль доступа, изоляцию рабочих нагрузок и безопасность образов и цепочки поставок

• Опыт защиты инфраструктуры AWS, включая IAM, сетевую и аккаунтную архитектуру, управление ключами и секретами, а также CSPM

• Опыт создания AI‑ассистированных инструментов безопасности или внутренних платформ самообслуживания безопасности

• Опыт наставничества или технического руководства командой безопасности

• Наступательные или продвинутые сертификаты в области безопасности, такие как OSAI, OSEP, OSCP или OSWE

What you'll get in return:

• Вы станете частью компании, которая заботится о балансе работы и личной жизни

• Годовой бонус, основанный на цикле оценки эффективности

• Щедрая политика ежегодного отпуска

• Медицинская страховка и пенсионный фонд, а также дополнительные пакеты льгот в зависимости от местоположения

• Гибридный режим работы (3 дня в нашем современном офисе и 2 дня полностью удалённо)

• Всеобъемлющая политика Workation с 30 дополнительными удалёнными днями

• Возможность взять два дополнительных оплачиваемых дня отпуска в год для волонтёрской деятельности