Контекст
Информационная безопасность в Tabby охватывает два взаимодополняющих направления:
- Vulnerability Assessment & Penetration Testing (VAPT) — тестирование безопасности приложений, обзоры архитектуры безопасности, моделирование угроз, проверка безопасного кода, триаж уязвимостей и реагирование на инциденты.
- Governance, Risk & Compliance (GRC) — политики и контрольные рамки, поддержка программ соответствия (PCI DSS, ISO 27001, SAMA), оценка рисков, поддержка аудитов, обзоры безопасности поставщиков и повышение осведомлённости о безопасности.
Команда тесно взаимодействует с product engineering, risk engineering и platform / SRE.
Стажировка предназначена для сильных инженеров начального уровня, желающих развиваться в роли практиков безопасности. Кандидаты подают заявку один раз — во время интервью мы подбираем каждому кандидату наиболее подходящее направление. Стажёры интегрируются в команду безопасности, работают над реальными оценками и задачами по исправлению или соответствию под руководством старших специалистов и должны соответствовать инженерным стандартам с первого дня.
Ключевые обязанности
Что вы будете делать
Это не роль помощника или только наблюдателя. Стажёры работают над реальными производственными задачами под руководством старших специалистов.
В треке VAPT:
- Триаж находок из SAST, DAST, SCA и сканеров зависимостей в мобильных и бекенд‑репозиториях
- Воспроизведение и документирование уязвимостей; написание чётких тикетов по исправлению для продуктовых команд
- Участие в проверках безопасного кода в выбранных merge request (аутентификация, валидация ввода, обработка данных)
- Участие в сессиях моделирования угроз для новых функций и подготовка описаний
- Проведение ограниченных оценок в staging‑окружениях под подпись старшего специалиста
- Помощь в поддержке инструментов безопасности: конфигурации сканеров, базовые правила, дашборды, очереди триажа ложных срабатываний
- Помощь в проверках безопасности в циклах релизов
- Вклад в DevSecOps — security gates в CI/CD pipelines, сканирование зависимостей и образов контейнеров
- Знакомство с логированием, мониторингом и процессами триажа оповещений совместно с SOC
- Участие в упражнениях по реагированию на инциденты и пост‑мортемах вместе со старшими инженерами
В треке GRC:
- Поддержка программ соответствия по рамкам, таким как PCI DSS, ISO 27001 и SAMA — сбор доказательств, сопоставление контролей, анализ пробелов
- Помощь в поддержке политик безопасности, стандартов и процедур в разных доменах — контроль доступа, криптография, управление активами, управление изменениями, безопасность третьих сторон, управление уязвимостями, осведомлённость и обучение — владельцы треков и циклы обзоров
- Участие в оценках рисков — реестры рисков, тестирование контролей, планы обработки
- Поддержка оценок безопасности поставщиков и третьих сторон
- Помощь в подготовке к внутренним и внешним аудитам — рабочие документы, пакеты доказательств, координация ответов
- Вклад в контент по повышению осведомлённости о безопасности, развертывание обучающих материалов и отслеживание метрик
- Работа совместно с инженерными командами для трансляции требований политики в конкретные технические контролы
В обоих треках:
- Работа с инженерами по рискам и платформе над обработкой PII, управлением секретами и проверками шифрования
- Вклад во внутреннюю базу знаний по безопасности (runbooks, playbooks, контент по осведомлённости)
О компании Tabby
Tabby — финтех-компания с Ближнего Востока, основанная в 2019 году Хосамом Арабом и Даниилом Баркаловым. Начинала как BNPL-сервис — оплата покупки четырьмя беспроцентными платежами или рассрочка до 12 месяцев, — сейчас развивает платёжную карту с кешбэком, цифровой кошелёк и переводы. Работает в Саудовской Аравии, ОАЭ, Кувейте и Египте, обслуживает около 15 млн пользователей.
Что вакансия рассказывает о компании и команде
О компании
Tabby разрабатывает финансовые продукты, используемые миллионами пользователей по всему GCC. Мы работаем с высоконагруженными, критически важными для безопасности системами, имеющими строгие регуляторные требования. Функция информационной безопасности защищает Tabby в мобильных приложениях, бекенд‑сервисах, платёжных интеграциях и облачной инфраструктуре.
Эта стажировка по умолчанию не является учебной. Это инженерная роль с реальной ответственностью.