Руководитель отдела информационной безопасности

Описание

Привет! Я Саша, CTO Профи.ру. Наш сервис помогает клиентам находить профессионалов для разных задач, а специалистам — зарабатывать на том, что они умеют и любят делать. У Профи.ру большой и разнородный технологический периметр: веб и мобильные приложения, платёжные сценарии, собственная инфраструктура, внешние интеграции. Продукт постоянно развивается, а вместе с ним появляются новые задачи по безопасности. Хотим системнее работать с рисками и учитывать их ещё на этапе проектирования и разработки. Ищу человека, который возьмёт на себя развитие этого направления. Здесь важно сочетать инженерную работу и лидерство: погружаться в технические задачи, выстраивать процессы безопасности и постепенно развивать команду. На старте важно разобраться, как сейчас устроена безопасность продуктов и инфраструктуры, определить наиболее существенные риски и договориться с командами о приоритетах. Отдельно предстоит разобраться с новыми рисками вокруг ИИ и выстроить подход к требованиям партнёров и регуляторов. Работать предстоит напрямую со мной и в тесной связке с разработкой, инфраструктурой, биллингом и юристами. Технологии В продуктовой разработке используем React, React Native, TypeScript и PHP. Инфраструктура собственная, приложения и сервисы работают в Kubernetes. Зачем тебе к нам Влиять на продукт. Безопасность здесь не сводится к проверкам перед релизом. Сможешь участвовать в архитектурных и продуктовых решениях на самом старте, особенно там, где речь идёт о платёжных сценариях и интеграциях. Совмещать инженерную работу и лидерство. У нас широкий круг задач: от AppSec и инфраструктуры до требований партнёров и регуляторов. Предстоит самостоятельно выбирать приоритеты и решать, куда направлять усилия. Можно глубоко погружаться в технические задачи и при этом влиять на то, как устроена безопасность в компании. Постепенно расширять масштаб роли. По мере развития направления появится возможность нанимать людей, развивать команду и брать на себя больше управленческой ответственности. Чем предстоит заниматься В первые три месяца Погрузиться в архитектуру продуктов, инфраструктуру, платёжные сценарии и ключевые интеграции Профи.ру. Оценить основные риски и вместе с командами определить, какие из них нужно закрывать в первую очередь. Сформировать план развития информационной безопасности на год: какие практики стоит усиливать в первую очередь, где достаточно изменить процесс, а где нужны технические решения. В ближайшие полгода-год Участвовать в ревью архитектуры и кода новых функций и интеграций, находить уязвимости и риски в бизнес-логике до выхода изменений в продакшн. Развивать практики безопасной разработки и встраивать нужные проверки в CI/CD так, чтобы они помогали разработке, а не превращались в формальный барьер. Вместе с инфраструктурной командой усиливать безопасность Kubernetes, сети и управления доступами. Проводить и организовывать пентесты, оценивать найденные уязвимости и помогать командам расставлять приоритеты исправлений. Продумать подход к рискам, связанным с ИИ: разобраться в новых сценариях использования и определить разумные требования к ним. Развивать процессы, необходимые для работы с требованиями партнёров и регуляторов, вместе с юристами и другими командами. По мере роста задач определять, какая экспертиза нужна внутри направления, участвовать в найме и постепенно формировать команду. Что нужно, чтобы к нам присоединиться Сильный практический опыт в AppSec или Product Security. Умеешь проводить ревью архитектуры и кода, находить уязвимости и участвовать в пентестах. Не только выстраиваешь процессы, но и самостоятельно погружаешься в технические задачи. Глубокое понимание безопасности веб-приложений и их бизнес-логики. Умеешь находить уязвимости, оценивать реальные сценарии атак и определять приоритеты исправлений. Знание PHP-экосистемы. Значительная часть нашего бэкенда написана на PHP, поэтому важно уметь читать код и понимать характерные для него риски. Опыт развития процессов безопасности в продуктовой компании. Знаешь, как встроить проверки и требования безопасности в разработку, чтобы они работали на практике. Умение договариваться с разными командами. Предстоит объяснять риски разработчикам, инфраструктуре, юристам и партнёрам, учитывать их ограничения и вместе находить решения. Умение работать с неопределённостью. Можешь самостоятельно расставлять приоритеты, выбирать подходы и принимать решения, когда нет готового процесса или однозначного ответа. Что мы за это предлагаем Пересмотр зарплаты и грейда дважды в год — держим уровень рынка или выше. Опционы тем, кто круто себя проявит. Полный день со свободным графиком: классный офис в Москве или удалёнка. Рабочее время не контролируем. 100% ДМС — со стоматологией и лечением онкологии. Технику для работы — ноутбук на Mac или Windows и всё, что понадобится. Включая подписки на AI-инструменты. Обучение: оплатим профильные курсы, конференции и митапы. Проводим крутые хакатоны и тренинги. Скидку на Профи.ру — компенсируем до 3450 рублей gross от стоимости заказа. Книги: электронная библиотека «Альпины» и книжная полка в офисе. Завтраки в офисе: запеканки, каши, лосось с авокадо, круассаны и другая вкуснятина :) Вечеринки, которые сложно назвать корпоративом: покоряем горнолыжные склоны, устраиваем фестивали, собираемся в разных городах. Плюшку на выбор каждый месяц — компенсируем 50% стоимости, до 6900 gross рублей: спорт, психотерапия, массаж, check-up, коворкинг, няня или сиделка, парковка у офиса, обустройство рабочего места, мед. услуги вне ДМС или ДМС для родственника.