Application Security Engineer

Мы ищем Application Security Engineer, который будет отвечать за безопасность продукта от начала до конца — от threat modelling и secure design reviews до управления уязвимостями и внедрения security controls в CI/CD.

Вы будете тесно сотрудничать с командами product и platform, делая безопасность частью инженерного процесса, создавая безопасные настройки по умолчанию и помогая предотвращать попадание уязвимостей в продакшн без замедления разработки.

• Владеть безопасностью приложений и продукта от начала до конца, от design reviews и threat modelling до исправления уязвимостей и последующего контроля.
• Сотрудничать с командами product и platform для внедрения безопасности в жизненный цикл разработки, а не рассматривать её как финальный этап проверки.
• Создавать и улучшать security controls в CI/CD, включая SAST, dependency, secrets, container и IaC сканирование.
• Проводить обзор дизайна приложений и кода, где риск безопасности значим, и превращать повторяющиеся находки в безопасные настройки по умолчанию, общие библиотеки, lint‑правила и CI‑ворота.
• Управлять уязвимостями в коде приложений и облачной инфраструктуре, включая триаж, приоритизацию на основе риска, сроки исправления и результаты внешних pentest‑ов.
• Усиливать безопасность в многопользовательских B2B системах, включая изоляцию tenants, аутентификацию, авторизацию, RBAC / ABAC и контроль доступа.
• Работать над безопасностью облака и Kubernetes в средах AWS, включая IAM, управление секретами, сетевые границы и укрепление рабочих нагрузок.
• Помогать переводить требования GDPR, SOC 2 и ISO 27001 в практические инженерные контролы и свойства системы.
• Разрабатывать и поддерживать программу security champions, помогая инженерным командам внедрять безопасные практики в их ежедневную работу.
• Устранять риски безопасности, специфичные для AI и функций на базе LLM, включая prompt injection, утечку данных и небезопасный вывод модели.

• 5+ лет инженерного опыта, включая минимум 2 года, сосредоточенных на Application Security или Product Security.
• Сильный опыт в software engineering с возможностью читать, ревьюировать и писать production code; опыт работы с Python предпочтителен.
• Глубокие практические знания web application security, включая OWASP Top 10, ASVS, аутентификацию и управление сессиями, OAuth2 / OIDC / SAML и проблемы авторизации, такие как IDOR и broken access control.
• Опыт обеспечения безопасности многопользовательских или B2B SaaS продуктов, включая изоляцию tenants, RBAC / ABAC и модели контроля доступа.
• Практический опыт внедрения безопасности в CI/CD, включая SAST, SCA, сканирование secrets, сканирование контейнеров и IaC сканирование.
• Сильный опыт в threat modelling, secure design reviews и secure code reviews в сотрудничестве с командами product и engineering.
• Опыт управления уязвимостями на основе риска, критичности и эксплуатируемости, включая приоритизацию исправлений и эскалацию при необходимости.
• Рабочие знания AWS и Kubernetes security, включая IAM, управление секретами, сетевые границы и укрепление рабочих нагрузок.
• Сильные коммуникативные навыки и способность ясно объяснять риски безопасности инженерам, product managers и аудиторам.
• Свободное владение русским и английским языками на уровне B2 и выше.

• Опыт построения практики DevSecOps с нуля.
• Опыт организации или участия в программе Security Champions.
• Практический опыт penetration testing.
• Опыт обеспечения безопасности продуктов, работающих на LLM или AI.
• Опыт работы с SOC 2 или ISO 27001 с инженерной точки зрения.
• Знание безопасности цепочки поставок программного обеспечения, включая SBOMs, SLSA, подпись образов и аналогичные практики.

• Поддерживающая и проактивная рабочая среда.
• Конкурентоспособная компенсация: 4000-6000 EUR Gross в месяц
• Полностью удалённая работа и полная занятость.
• Современные цифровые инструменты для бесшовного сотрудничества.
• Ощутимые результаты, измеряемые успехом студентов.