Intermediate Security Analyst, Vulnerability Operations (North America)

В качестве Security Analyst в команде Product Security Vulnerability Operations компании GitLab вы будете помогать защищать клиентов GitLab, проводя триаж отчётов о безопасности, поддерживая операции по управлению уязвимостями и координируя чёткую коммуникацию с исследователями безопасности, клиентами и внутренними командами.

Вы будете тесно сотрудничать с инженерами PSIRT, командами Vulnerability Management, Security Engineering, Legal, Customer Success, Support и Communications. Эта роль — отличная возможность для специалиста по безопасности на ранней стадии карьеры, который любопытен, организован, внимателен к деталям и хочет развивать экспертизу в реагировании на уязвимости продуктов.

Эта роль открыта для кандидатов по всей Северной Америке, однако мы приветствуем заявки от соискателей, находящихся на Западном побережье США или Западной Канаде (Британская Колумбия), так как команда стремится расширить покрытие в Тихоокеанском часовом поясе.

• Триаж входящих отчётов bug bounty, включая проверку качества отчёта, валидацию находок, оценку потенциального воздействия, выявление дубликатов и направление отчётов в соответствующие команды.
• Триаж уязвимостей, выявленных в ходе деятельности по управлению уязвимостями, и помощь в их отслеживании через оценку, исправление и закрытие.
• Работа с инженерами PSIRT и командами разработки для сбора технических деталей, воспроизведения проблем и уточнения затронутых продуктов, версий и конфигураций.
• Поддержка оценки серьёзности с использованием фреймворков и терминологии, таких как CVE, CVSS, CWE и OWASP.
• Профессиональное и уважительное общение с исследователями безопасности, участвующими в программах координированного раскрытия уязвимостей и bug bounty.
• Поддержка роли GitLab как CVE Numbering Authority путём подготовки информации для назначения CVE, ведения точных записей и помощи в координации связанных действий.
• Представление GitLab в качестве действующего представителя CNA в обсуждениях и операциях, связанных с CVE, эскалация вопросов и координация с соответствующими внутренними и внешними заинтересованными сторонами.
• Подготовка и координация коммуникаций, направленных к клиентам, о уязвимостях, исправлениях, смягчениях и информации о релизах совместно с PSIRT, Legal, Customer Success, Support и Corporate Communications.
• Ведение точных записей по инцидентам, срокам, коммуникациям с исследователями, статусу исправлений и последующим действиям.
• Мониторинг очередей и операционных метрик для выявления тенденций, «старения» задач, повторяющихся проблем и возможностей улучшения качества и согласованности реагирования.
• Создание и улучшение runbooks, процедур, шаблонов и другой документации, делающих обработку уязвимостей более эффективной и прозрачной.
• Участие в передаче инцидентов, документировании анализа корневых причин, мероприятиях по извлечению уроков и обзорах безопасности продуктов.
• Формирование технической и операционной экспертизы в областях PSIRT, bug bounty, управления уязвимостями и координированного раскрытия уязвимостей.

• Опыт на ранней стадии карьеры или эквивалентное образование в области кибербезопасности, разработки программного обеспечения, информационных технологий или смежных областях. Приветствуются соответствующие стажировки, учебные проекты, лабораторные работы, исследования, поддержка клиентов или практические проекты в сфере безопасности.
• Базовое понимание уязвимостей программного обеспечения и концепций безопасности, включая веб‑приложения, API, среды CI/CD, аутентификацию и авторизацию.
• Знакомство с терминологией безопасности, такой как CVE, CVSS, CWE, OWASP Top 10 и координированное раскрытие уязвимостей.
• Высокая внимательность к деталям и способность организовывать и приоритизировать несколько отчётов или задач одновременно.
• Чёткие письменные и устные коммуникативные навыки, позволяющие объяснять технические темы как технической, так и нетехнической аудитории.
• Опыт работы с платформой bug bounty или раскрытия уязвимостей, такой как HackerOne или Bugcrowd.
• Опыт обзора отчётов о безопасности, участия в упражнениях capture‑the‑flag, проведения исследований уязвимостей или работы с инструментами безопасности.
• Знакомство с процессом назначения CVE, процедурами CNA, публикациями советов по безопасности или базами данных уязвимостей.

Nice to have: базовый опыт скриптинга, анализа логов, трекинга задач или анализа данных; опыт написания технической документации, клиентских коммуникаций, ответов поддержки или операционных процедур.

Диапазон базовой зарплаты для уровня, указанного в этой вакансии, в настоящее время применяется только к резидентам Соединённых Штатов. Этот диапазон предназначен для отражения базовой ставки зарплаты в разных регионах США. Уровень и диапазоны зарплат определяются на основе интервью и оценки образования, опыта, знаний, навыков, способностей кандидата, сопоставимости с другими членами команды, соответствия рыночным данным и географического положения. Диапазон базовой зарплаты не включает бонусы, акции или льготы. Подробнее о наших льготах и акциях. Продажи также могут получать стимулирующие выплаты в размере до 100 % от предложенной базовой зарплаты.

Диапазон зарплаты в США

$115,000—$150,000 USD

• Льготы для поддержки вашего здоровья, финансов и благополучия
• Гибкий оплачиваемый отпуск
• Группы ресурсов сотрудников
• Компенсация акций и план покупки акций сотрудниками
• Фонд роста и развития
• Декретный отпуск