Application Security Lead

Вы будете отвечать за безопасность приложений в нашей мобильной банковской платформе, стеке платежей и растущем наборе регулируемых продуктов. Работа практическая: вы будете проводить threat modeling, security reviews, CI/CD tooling — с реальной ответственностью за процесс. Вы будете подчиняться Group CISO и тесно сотрудничать как с нашими инженерными командами, так и с функцией Bank IS.

Управление безопасностью, ориентированное на риск

• Определите, какие системы, потоки данных и изменения продукта несут наибольший реальный риск, и стройте свою работу вокруг этого, а не вокруг охвата инструментов или списков проверок соответствия
• Решайте, когда security gate стоит замедлить выпуск, а когда нет, берите на себя это решение и умейте объяснить его инженерам и CISO
• Ведите реестр рисков для уязвимостей уровня приложений: что открыто, что принято, что исправляется, и почему — в указанном порядке

Secure SDLC

• Определите, где в нашем процессе поставки принимаются решения по безопасности, и разместите там контрольные меры
• Проводите threat modeling для высоко‑рисковых изменений продукта до фиксации дизайна, а не после
• Создайте базовый набор тестов мобильной безопасности, который команда будет выполнять самостоятельно

CI/CD и цепочка поставок

• Оцените, что текущий pipeline действительно обнаруживает, а что генерирует как шум, и скорректируйте соотношение до добавления новых сканеров
• Берите на себя управление позицией в цепочке поставок: фиксирование зависимостей, SBOM, внутренний реестр и процесс реагирования при компрометации пакета
• Обеспечьте сквозное обнаружение и устранение secrets

Регулятивная и межкомандная работа

• Переводите пробелы в безопасности приложений в формулировки, удовлетворяющие экзаменаторов BSP, без избыточного документирования
• Координируйте вклад безопасности в запуск новых продуктов по всей структуре Group и Bank

Опыт

• 7+ лет в области security приложений, с реальной ответственностью как за техническую работу, так и за процесс
• Создал или существенно улучшил secure SDLC в быстро развивающейся продуктовой организации
• Проводил threat modeling реальных функций продукта и в результате влиял на решения по дизайну
• Вёл управление уязвимостями от начала до конца: триаж, отслеживание исправлений, управление SLA, принятие рисков
• Проводил практическое mobile security testing (iOS и/или Android) в продакшн‑контексте, а не только в UAT
• Понимает современные векторы атак в цепочке поставок, такие как компрометированные пакеты (npm, PyPI), вредоносные плагины IDE, typosquatting, путаница зависимостей, и знает, как снизить экспозицию на уровне инструментов и процессов
• Уверенно пишет скрипты на Python или Bash для автоматизации повторяющихся задач security

Технические навыки

• SAST, DAST, SCA в CI/CD pipelines: умеет настраивать их для получения сигнала, а не только охвата
• API security: потоки аутентификации, обработка токенов, типичные схемы злоупотребления
• Mobile security: применение OWASP ASVS/MASVS на практике
• Supply chain: генерация SBOM и управление рисками зависимостей
• Secrets management: обнаружение, исправление и структурная профилактика
• Практические знания AWS и контейнеров, достаточные для понимания, где риски приложений переходят в инфраструктуру

• Опыт работы в регулируемой среде (финансовые услуги или аналогичные)
• Знакомство с PCI-DSS, ISO 27001 или BSP MORB
• Сертификаты: OSCP, GWEB, GWAPT, CSSLP