AppSec Technical Lead

Описание

Локация: Москва, офисный формат работы на месте работодателя
Компания
Сбер развивает практики Application Security и DevSecOps для повышения качества и эффективности security-проверок приложений.
Что делать

Технически лидировать команду из 3 AppSec-инженеров, помогать принимать архитектурные и технические решения и развивать экспертизу команды.
Проводить ревью технических решений, подходов к анализу уязвимостей, SAST-правил и security-автоматизаций.
Планировать работу команды совместно с Product Owner, приоритизировать задачи с учётом технических рисков, бизнес-контекста и загрузки.
Быть единой точкой входа для Product Owner по статусам, блокерам, рискам, roadmap, ограничениям и потребностям команды.
Развивать интеграцию security-проверок в CI/CD, писать автоматизацию для интеграции сканеров, обработки и обогащения результатов и формирования метрик.
Улучшать процессы SAST/SCA/DAST/MAST, исследовать новые инструменты и делать проверки полезнее для разработчиков.

Требования

Опыт в Application Security от 4 лет либо сопоставимый опыт в разработке с последующим переходом в security; общий заявленный опыт — от 3 до 6 лет.
Практический опыт технического лидерства, наставничества или координации AppSec/security-инженеров.
Глубокое понимание secure SDLC, shift-left security и DevSecOps; практический опыт с SAST, SCA, DAST и/или MAST.
Опыт интеграции security-проверок в CI/CD, анализа результатов сканирования, валидации уязвимостей, поиска false positives и приоритизации рисков.
Опыт security code review на одном или нескольких языках: Java/Kotlin, Go, Python; уверенное владение одним из языков: Python, Java или Go.
Опыт работы с Bash и взаимодействия с разработчиками по исправлению уязвимостей.
Глубокое понимание OWASP Top 10, OWASP ASVS и OWASP Mobile Top 10.
Понимание микросервисной архитектуры, REST/gRPC API, Kubernetes и контейнеризации.
Понимание безопасности мобильных приложений и типовых рисков: insecure storage, insecure communication, некорректная работа с secrets, jailbreak/root detection, reverse engineering, certificate pinning и tampering; опыт работы с MAST-инструментами.
Инструментальное владение AI для анализа, генерации и автоматизации.

Хорошо, если есть

Опыт анализа Android/iOS-приложений.

Культура и преимущества

Современный комфортный офис и офисный формат работы.
Ежегодный пересмотр зарплаты и годовая премия.
Корпоративный спортзал, зоны отдыха и более 400 образовательных программ СберУниверситета.
Программа адаптации и помощь руководителя на старте.
Расширенный ДМС, льготное страхование для семьи и корпоративная пенсионная программа.
Льготная ипотечная программа, подписка Прайм и вознаграждение за рекомендации.