Какие команды участвуют?
Platform Security
Департамент Кибербезопасности Сбербанка приглашает лучших кандидатов в уникальную команду «Platform Security», которая будет оценивать и обеспечивать защищенность всей платформы — физических серверов, виртуализации, контейнеризации, сегментации сети, программных продуктов для создания Облака, а также в части обработки и хранения данных и AI во всех его проявлениях.
Мы используем:
- Передовые технологии для обеспечения безопасности инфраструктуры.
- Большие языковые модели (LLM).
- Python, С++, SQL, TensorFlow, PyTorch, Keras, Java, Spring Boot, OpenShift/Kubernetes, Hadoop, Druid, Kafka, Ignite, PostgreSQL, OAuth, CI/CD, DevSecOps, IODC, SAM, SAML, RBAC/ABAC, контейнерные технологии, технологии виртуализации (OpenStack или VMware), Apache Kafka, Apache ZooKeeper, Nginx, ELK, OSE.
Чем предстоит заниматься:
- Анализировать мировые работы и инциденты в области безопасности платформы, инфраструктуры, хранилища данных и генеративного ИИ.
- Разрабатывать и постоянно обновлять актуальный ландшафт угроз и современных средств защиты.
- Тестировать и оценивать защищенность больших языковых моделей и других моделей генеративного ИИ.
- Оценивать и готовить заключения о защищенности мультимодальных и мультиагентных систем ИИ.
- Оценивать и давать предложения по повышению защищенности нашего хранилища данных.
- Готовить материалы для определения приоритетных направлений исследований и разработок в области безопасного AI.
- Разрабатывать верхнеуровневую стратегию продуктов на основе безопасного AI.
- Осуществлять интеграцию решений по обеспечению информационной безопасности в бизнес-процессы, АС и информационную инфраструктуру Банка.
- Проводить анализ и выявлять риски и угрозы для банковских систем, банковских продуктов, бизнес-процессов и информационной инфраструктуры, выбирать адекватную и оптимальную систему защиты.
- Участвовать в приемо-сдаточных испытаниях и аттестациях автоматизированных систем и информационно-вычислительных комплексов.
- Участвовать в подготовке рекомендаций и предложений по внесению изменений в процессы и нормативные документы банка.
- Рассматривать и согласовывать концептуальные архитектуры проектов по разработке и модификации автоматизированных систем.
Мы ждём, что вы:
-
Разбираетесь в одном или нескольких доменах информационной безопасности облачной инфраструктуры (Cloud), или в технологиях AI и хранилищ данных:
- Виртуализация.
- Контейнеризация.
- Сети.
- Брокеры сообщений.
- ПАК (программно-аппаратный комплекс).
- Сервера приложений.
- Хранилища данных и обработка информации.
- AI, ML, DL, GEN(AI), LLM.
-
Знаете такие словосочетания, как Cloud Native Computing Foundation (CNCF), «OWASP», «NIST» «PCI DSS», «DevSecOps» и др.
- Разбираетесь в хранилищах.
- Понимаете, чем отличаются мультимодальные системы ИИ от мультиагентных систем ИИ.
Продуктовая команда безопасности
Мы занимаемся развитием инструментов и практик Application Security во всем Сбере. Нашими инструментами проверяются в конвейер CI/CD все приложения Банка (более 5000 приложений).
Ищем в команду инженера/аналитика AppSec, которому интересно исследовать безопасность веб-приложений инструментальным и ручным способом.
Наш стек:
- Linux/Windows, Java/C++/Go/Python, SAST/SCA/Secret/DAST/Fuzzing.
Чем предстоит заниматься:
- Анализировать уязвимости, выявленные инструментальными проверками безопасности (SAST/SCA).
- Разрабатывать правила для автоматизированных средств проверки (SAST/Secret Scanning).
- Осуществлять коммуникацию с командами разработки по вопросам устранения уязвимостей.
- Проводить анализ защищенности веб-приложений.
Требования к квалификации:
- Опыт работы инженером / аналитиком в AppSec от 1 года.
- Опыт автоматизации с использованием Bash, Python, Go или любого другого языка.
- Опыт анализа чужого когда на ошибки (security code review).
- Понимание процессов и практик разработки ПО (Agile, SSDLC, DevSecOps).
- Понимание архитектур современных приложений.
- Знание лучших практик в разработке безопасных веб- и/или мобильных приложений.
Будет плюсом:
- Опыт участие в соревнованиях по кибербезопасности (CTF).
- Наличие активного профиля на обучающих площадках по ИБ (e.g. HackTheBox).
- Наличие профильных сертификатов.
Как пройдёт мероприятие?
- С 10.00 до 10.30 — знакомство с командами.
- С 10.30 до 18.00 — интервью.
- С 18.00 до 19.00 — обратная связь.
