Архитектор по безопасности приложений

Capital.com разрабатывает и эксплуатирует веб- и мобильные торговые платформы, публичные и партнерские API, а также бэкенд-сервисы в высокорегулируемой среде. В роли Архитектора по безопасности приложений вы будете старшим дизайнером, отвечающим за безопасность этих продуктов. Вы будете задавать направление обеспечения безопасности ПО в масштабе компании: владеть шаблонами и стандартами безопасности с принципом secure-by-design, руководить моделированием угроз и обзорами архитектуры, а также определять базовые требования по безопасности приложений, на которых строят команды инженеров.

Работая в тесном сотрудничестве с командой Product Security и директором по безопасности продуктов, вы будете направлять процессы AppSec и формировать видение без прямого подчинения. Вы будете рассматривать безопасность как совместный результат, а не как барьер, сочетая усиленную защиту с удобством для разработчиков и скоростью выпуска, и добиваться внедрения через поддержку, а не принуждение.

Обязанности:

• Архитектура безопасности и стандарты:
  • Определять и поддерживать безопасные по умолчанию эталонные архитектуры для общих шаблонов: веб-приложения, мобильные бэкенды, микросервисы, публичные и партнерские API, сервисы на основе событий
  • Отвечать за ключевые архитектурные решения по безопасности приложений: аутентификация и авторизация, управление сессиями, безопасность API, управление секретами, изоляция в многопользовательской среде, безопасность логирования и аудита
  • Руководить переработкой пользовательской аутентификации и внедрением функций безопасности в продукт
  • Разрабатывать и внедрять стандарты безопасности приложений, руководства по безопасному программированию, стандарты конфигурации, повторно используемые шаблоны дизайна и записи архитектурных решений (ADR), которые инженеры смогут применять без участия эксперта по безопасности
  • Определять внутренние политики по безопасному использованию инструментов с поддержкой искусственного интеллекта и vibe-coding
  • Определять требования безопасности для приобретённых технологий и руководить их безопасной интеграцией
• Моделирование угроз и обзор дизайна:
  • Создавать и вести операционную модель моделирования угроз с охватом, ритмом, шаблонами и фасилитацией, пропорционально уровню риска продукта
  • Отвечать за этап проверки безопасности в процессе утверждения новых продуктов, включая проектирование архитектуры и конфигурацию
  • Проводить обзоры дизайна по инициативам с высоким воздействием: новые продукты, новые схемы аутентификации, платежные и потоки с конфиденциальными данными, миграции платформ и крупные рефакторинги
  • Определять риски на уровне дизайна и согласовывать практические, приоритетные меры с инженерными командами
• Безопасный SDLC, DevSecOps и безопасность цепочки поставок:
  • Оценивать текущее состояние безопасности приложений, предлагать улучшения и развивать стратегию безопасного SDLC вместе с руководством по инженерии и безопасности
  • Контролировать процессы AppSec и отвечать за стратегию инструментального обеспечения (SAST, DAST, IAST, SCA и сканирование секретов), включая процесс возврата результатов командам инженеров
  • Интегрировать меры безопасности как ограждения в CI/CD с помощью политики как кода, с согласованными методами контроля и эскалации
  • Сотрудничать с DevOps для организации управления репозиториями и предотвращения атак на цепочку поставок, включая безопасное использование компонентов, управление зависимостями, SBOMs и целостность сборок
  • Повышать безопасность внутренних инструментов

Требования:

• Опыт:
  • Более 8 лет в технологии, включая 5+ лет в специализированной роли по безопасности приложений или продуктов с сильной инженерной базой и непосредственным участием в архитектуре или дизайне
  • Доказанный опыт создания, документирования и внедрения стандартов безопасности, шаблонов и лучших практик в сложных инженерных организациях
  • Глубокий, подтвержденный опыт моделирования угроз в различных продуктовых портфелях
• Технические навыки:
  • Опыт проектирования и внедрения безопасного SDLC в облачной среде. Требуются глубокие знания AWS, приветствуется опыт работы с GCP или другими облаками
  • Отличное владение стандартами OWASP (Top 10, ASVS) и практиками DevSecOps, включая инструменты AppSec (SAST, DAST, IAST, SCA, сканирование секретов) и управление уязвимостями
  • Глубокое понимание современных распределённых архитектур: микросервисы, REST и GraphQL API, системы на событиях, OAuth2/OIDC и контейнеризированные нагрузки (Docker, Kubernetes). Умение анализировать их границы доверия, поверхность атаки и потоки данных между веб и мобильными клиентами
• Взаимодействие:
  • Исключительная способность влиять и согласовывать действия инженерных команд без прямой власти, а также доносить информацию до инженеров и руководителей
  • Практичность и стратегическое мышление: балансируете между идеалом и достижимым, защищаете скорость выпуска и преобразуете долгосрочные направления в конкретный план
  • Чёткое письменное общение с помощью диаграмм, ADR и шаблонов, опыт наставничества и межфункционального сотрудничества

Желательно:

• Опыт работы в финтехе, торговле, брокерских компаниях или других регулируемых средах
• Знание соответствующих нормативных и комплаенс требований: FCA и CySEC операционная устойчивость, GDPR и PCI DSS
• Безопасность цепочек поставок ПО, включая SBOM и целостность артефактов и сборок
• Опыт обеспечения безопасности в продуктах с интеграцией AI или использования AI для масштабирования программы AppSec
• Опыт создания или управления программой Security Champions
• Сертификаты CSSLP, GIAC GDSA или практические сертификаты по offensive security. Сертификаты желательны, но вторичны по отношению к реальному опыту

Что вы получите в обмен:

• Вы присоединитесь к компании, которая ценит баланс между работой и личной жизнью
• Ежегодный бонус по результатам оценки эффективности
• Щедрая политика ежегодного отпуска
• Медицинская страховка и пенсионный фонд, с дополнительными пакетами льгот в зависимости от локации
• Гибридный режим работы (3 дня из нашего современного офиса и 2 дня полностью удалённо)
• Полная политика Workation с доступом к дополнительным 30 удалённым дням
• Возможность брать два дополнительных оплачиваемых дня в год для участия в волонтёрских инициативах

Capital.com размещает данную вакансию на собственном карьерном сайте. Заявки направляйте напрямую в Capital.com через кнопку «Apply» на этой странице.