AppSec Technical Lead

Мы ищем AppSec Technical Lead — сильного hands-on эксперта по Application Security, который будет техническим лидером команды из 3 AppSec-инженеров.

Вам предстоит развивать практики secure SDLC и DevSecOps, работать с SAST/SCA/DAST/MAST, развивать автоматизацию security-проверок.

Вам предстоит:

• Быть техническим лидером для команды AppSec-инженеров.
• Помогать команде принимать архитектурные и технические решения в области Application Security.
• Наставлять инженеров, помогать им развивать экспертизу в AppSec, DevSecOps, security code review и автоматизации.
• Проводить ревью технических решений, подходов к анализу уязвимостей, SAST-правил и security-автоматизаций.
• Участвовать в планировании работы команды совместно с Product Owner.
• Помогать приоритизировать задачи с учётом технических рисков, бизнес-контекста и загрузки команды.
• Быть единой точкой входа для PO продукта по вопросам AppSec: статусы, блокеры, риски, roadmap, технические ограничения и потребности команды.
• Развивать интеграцию security-проверок в CI/CD.
• Разрабатывать и поддерживать правила для SAST-инструментов.
• Улучшать процессы работы с SAST/SCA/DAST/MAST: качество проверок, triage, отчётность, снижение false positives.
• Писать автоматизацию для интеграции сканеров, обработки результатов, обогащения находок и формирования метрик.
• Исследовать и тестировать новые инструменты проверки безопасности приложений.
• Помогать делать security-проверки более полезными для разработчиков и менее шумными для команд.

Что для нас важно:

• Опыт в Application Security от 4 лет либо сопоставимый опыт в разработке с последующим переходом в security.
• Практический опыт технического лидерства, наставничества или координации работы AppSec/security-инженеров.
• Глубокое понимание secure SDLC, shift-left security и DevSecOps.
• Практический опыт работы с SAST, SCA, DAST и/или MAST-инструментами.
• Опыт интеграции security-проверок в CI/CD.
• Опыт security code review на одном или нескольких языках: Java/Kotlin, Go, Python.
• Уверенное владение одним из языков: Python/Java/Go.
• Опыт работы с Bash.
• Глубокое понимание OWASP Top 10, OWASP ASVS и OWASP Mobile Top 10.
• Понимание современных архитектур: микросервисы, REST/gRPC API, Kubernetes, контейнеризация.
• Опыт анализа результатов сканирования, валидации уязвимостей, поиска false positives и приоритизации рисков.
• Практический опыт взаимодействия с разработчиками по исправлению уязвимостей.
• Понимание специфики безопасности мобильных приложений.
• Опыт работы с MAST-инструментами.
• Понимание типовых рисков мобильных приложений: insecure storage, insecure communication, неправильная работа с secrets, jailbreak/root detection, reverse engineering risks, certificate pinning, tampering.
• Опыт анализа Android/iOS-приложений будет преимуществом.
• Инструментальное владение AI для анализа, генерации и автоматизации.

Мы предлагаем:

• Комфортный, современный офис.
• Офисный формат работы.
• Ежегодный пересмотр зарплаты, годовая премия.
• Корпоративный спортзал и зоны отдыха.
• Более 400 образовательных программ СберУниверситета для профессионального и карьерного развития.
• Программа адаптации и помощь руководителя на старте.
• Расширенный ДМС, льготное страхование для семьи и корпоративная пенсионная программа.
• Гибкий дисконт по ипотечному кредиту, равный 1/3 ключевой ставки ЦБ.
• Подписка Прайм с возможностью совместного использования на трёх близких.
• Вознаграждение за рекомендацию друзей в команду Сбера.