DevSecOps-инженер
Описание
Чем предстоит заниматься:-Встраивать проверки безопасности в CI/CD: SAST, SCA, DAST, поиск секретов, сканирование контейнеров и IaC-Строить и сопровождать безопасный конвейер сборки и поставки ПО-Обеспечивать безопасность инфраструктуры разработки: репозиториев, систем сборки, хранилищ артефактов, сред тестирования-Внедрять управление секретами и контроль доступа в инфраструктуре разработки-Обеспечивать безопасность цепочки поставок: SBOM, контроль сторонних компонентов, подпись артефактов-Автоматизировать сбор и обработку результатов проверок, интегрировать их с системами управления уязвимостями-Обеспечивать быструю сборку и выпуск исправлений при обнаружении критичных уязвимостей-Реализовывать требования ИБ, сформированные AppSec, в инфраструктуре и пайплайнах-Участвовать в построении DevSecOps-методологии в компанииМы ждём:-Опыт построения и сопровождения CI/CD (GitLab CI, Jenkins, TeamCity или аналоги)-Опыт интеграции средств анализа в пайплайны: PT AI, AppChecker, CodeScoring, Semgrep, Trivy, Gitleaks, OWASP ZAP или аналоги-Опыт работы с Docker и Kubernetes и понимание их безопасности-Опыт работы с IaC (Terraform, Ansible) и проверки конфигураций на безопасность-Опыт работы с системами управления секретами (HashiCorp Vault или аналоги)-Уверенное владение скриптовыми языками (Python, Bash) для автоматизации-Понимание основных типов уязвимостей (OWASP Top 10, CWE Top 25)-Опыт в DevOps или ИБ от 3 лет, из них не менее 1 года в задачах DevSecOps-Умение работать в команде и договариваться с разработчикамиБудет плюсом:-Знание ГОСТ Р 56939-2024 в части требований к инфраструктуре и конвейеру разработки-Опыт работы с российскими средствами защиты контейнеров (Luntry, PT Container Security, Kaspersky Container Security) и платформами вроде Deckhouse-Опыт работы с Dependency-Track, DefectDojo или аналогами-Опыт работы с Nexus или Artifactory-Высшее образование в области ИБ или ИТ Что мы обеспечим: Гибкое начало рабочего дня с возможностью выбора удобного формата работы Современную технику для работы Возможность расширить свою экспертизу, используя современный стек технологий Сессии профессионального развития, конференции (посещения или самостоятельные выступления), курсы и тренинги