Application Security Engineer

Мы ищем Application Security Engineer, который будет полностью отвечать за безопасность продукта — от моделирования угроз и обзоров безопасного дизайна до управления уязвимостями и внедрения средств защиты в CI/CD.

• Полностью отвечать за безопасность приложений и продукта, от обзоров дизайна и моделирования угроз до исправления уязвимостей и последующего контроля.
• Сотрудничать с командами продукта и платформы, внедряя безопасность в жизненный цикл разработки, а не рассматривая её лишь как финальный этап проверки.
• Создавать и улучшать средства защиты в CI/CD, включая SAST, сканирование зависимостей, секретов, контейнеров и IaC.
• Проводить обзоры дизайна приложений и кода, где риск безопасности значим, и превращать повторяющиеся находки в безопасные значения по умолчанию, общие библиотеки, lint‑правила и CI‑ворота.
• Управлять уязвимостями в коде приложений и облачной инфраструктуре, включая триаж, приоритизацию на основе риска, сроки исправления и результаты внешних pentest‑ов.
• Усиливать безопасность в многопользовательских B2B системах, включая изоляцию tenants, аутентификацию, авторизацию, RBAC / ABAC и контроль доступа.
• Работать над безопасностью облака и Kubernetes в средах AWS, включая IAM, управление секретами, сетевые границы и укрепление рабочих нагрузок.
• Помогать переводить требования GDPR, SOC 2 и ISO 27001 в практические инженерные средства защиты и свойства системы.
• Разрабатывать и поддерживать программу security champions, помогая инженерным командам внедрять безопасные практики в их повседневную работу.
• Устранять риски безопасности, специфичные для функций, основанных на AI и LLM, включая внедрение подсказок, утечку данных и недоверенный вывод модели.

• 5+ лет опыта в инженерии, включая минимум 2 года, сосредоточенных на Application Security или Product Security.
• Сильный опыт в разработке программного обеспечения с возможностью читать, проверять и писать производственный код; опыт работы с Python предпочтителен.
• Глубокие практические знания веб‑безопасности, включая OWASP Top 10, ASVS, аутентификацию и управление сессиями, OAuth2 / OIDC / SAML, а также проблемы авторизации, такие как IDOR и нарушенный контроль доступа.
• Опыт обеспечения безопасности многопользовательских или B2B SaaS продуктов, включая изоляцию tenants, RBAC / ABAC и модели контроля доступа.
• Практический опыт внедрения безопасности в CI/CD, включая SAST, SCA, сканирование секретов, сканирование контейнеров и IaC.
• Сильный опыт в моделировании угроз, обзорах безопасного дизайна и обзорах кода в сотрудничестве с командами продукта и разработки.
• Опыт управления уязвимостями на основе риска, критичности и эксплуатируемости, включая приоритизацию исправлений и эскалацию при необходимости.
• Практические знания AWS и Kubernetes security, включая IAM, управление секретами, сетевые границы и укрепление рабочих нагрузок.
• Отличные коммуникативные навыки и способность ясно объяснять риски безопасности инженерам, менеджерам продукта и аудиторам.
• Свободное владение русским и английским языками на уровне B2 и выше.

• Опыт построения практики DevSecOps с нуля.
• Опыт организации или участия в программе Security Champions.
• Практический опыт проведения penetration testing.
• Опыт обеспечения безопасности продуктов, основанных на LLM или AI.
• Опыт работы с SOC 2 или ISO 27001 с инженерной точки зрения.
• Знание безопасности цепочки поставок программного обеспечения, включая SBOMs, SLSA, подпись образов и аналогичные практики.

• Поддерживающая и проактивная рабочая среда.
• Конкурентоспособная компенсация: 4000-6000 EUR Gross в месяц.
• Полностью удалённая работа и полная занятость.
• Современные цифровые инструменты для бесшовного сотрудничества.
• Ощутимые результаты, измеряемые успехом студентов.