Старший інженер з безпеки додатків

Команда безпеки продуктів Capital.com захищає наші веб- та мобільні додатки, інфраструктуру та зовнішній периметр у суворо регульованому середовищі. Як старший/спеціаліст з безпеки додатків, ви підвищите рівень безпеки додатків у всій організації. Ця роль оцінюється за ефективністю: наскільки добре ви проектуєте, автоматизуєте та масштабируєте процеси безпеки, щоб багато інженерних команд могли будувати безпечні продукти за замовчуванням.

Ви будете керувати оглядами архітектури безпеки та моделюванням загроз, зростаючи завдяки використанню інструментів на основі штучного інтелекту, та перетворювати одноразові завдання з безпеки у повторювані, самостійні можливості. Роль поєднує глибокі практичні знання в галузі наступальної і захисної безпеки з інженерним мисленням, необхідним для масштабування автоматизації. Ви тісно співпрацюватимете з командами розробки, контролю якості, DevOps та платформ.

Обов'язки:

• Архітектура безпеки та моделювання загроз:
  • Керувати оглядами архітектури безпеки та моделюванням загроз для нових і існуючих систем із використанням AI-інструментів для пришвидшення, підвищення послідовності і масштабування процесу серед команд
  • Бути мультиплікатором сили безпеки, формуючи стандарти, шаблони та обмеження, які дозволяють командам швидко і безпечно працювати
• Автоматизація безпеки та інструментування:
  • Проектувати, будувати та автоматизувати масштабовані процеси безпеки, які команди можуть використовувати самостійно, включаючи огляди безпечного дизайну, моделювання загроз, тестування та процеси усунення вразливостей
  • Інтегрувати та автоматизувати перевірки безпеки на всіх етапах SDLC та CI/CD (SAST, DAST, SCA, сканування секретів та IaC), настроюючи їх на хорошу якість сигналу та мінімальні перешкоди
  • Підтримувати та розвивати інструменти безпеки, такі як DefectDojo, платформи SAST, DAST та SCA, максимізуючи автоматизацію, охоплення та інтеграцію
  • Застосовувати AI та інструменти на базі великих мовних моделей для оглядів архітектури, моделювання загроз, ревізії коду та триажу вразливостей, а також допомагати визначити безпечні способи впровадження цих інструментів командою
• Тестування безпеки та управління вразливостями:
  • Проводити і контролювати оцінки безпеки веб та мобільних додатків, API та хмарної інфраструктури, включаючи ручне тестування та розробку доказів концепції
  • Проводити сканування вразливостей на внутрішній інфраструктурі та зовнішньому периметрі, аналізувати результати, визначати заходи усунення та контролювати закриття питань
  • Підтримувати і опрацьовувати програму Bug Bounty та зовнішні звіти про вразливості, автоматизуючи триаж, де це можливо
  • Брати участь у проведенні червоних команд і наступальних заходів з безпеки
• Розвиток компетенцій:
  • Сприяти обміну знаннями щодо безпечної розробки, наставляти інженерів та проводити тренінги для команд розробки і контролю якості

Вимоги:

• Досвід:
  • 5+ років в сфері безпеки додатків або продуктів, або еквівалентний досвід зі значним впливом на рівні старшого або спеціаліста
  • Демонстрований досвід проведення оглядів архітектури безпеки та моделювання загроз (наприклад, STRIDE, attack trees, аналіз потоків даних) у кількох командах або продуктах
  • Доведена здатність автоматизувати і масштабувати процеси безпеки шляхом побудови інструментів, інтеграцій та робочих процесів самообслуговування, що зменшують ручну працю
• Технічні навички:
  • Сильні практичні навички тестування безпеки, включаючи ревізію коду, оцінку безпеки веб, мобільних додатків та API, а також здатність тріажувати і перевіряти зовнішні звіти про вразливості та заявки Bug Bounty
  • Високий рівень володіння програмуванням принаймні однією мовою (наприклад, Python, Go, JavaScript) з можливістю будувати автоматизацію, а не просто скрипти
  • Глибокі знання OWASP Top Ten, безпечного дизайну і кодування
  • Досвід роботи з платформами SAST, DAST, SCA та управління вразливостями та їх інтеграції в CI/CD
  • Глибоке розуміння сучасних архітектур додатків: REST API, мікросервіси, хмарні системи і контейнери
  • Практичний досвід застосування AI та інструментів на базі великих мовних моделей у безпеці або виявлений ентузіазм і здібності для цього
• Співпраця:
  • Відмінні навички комунікації та впливу: здатність пояснювати концепції безпеки технічним і нетехнічним учасникам та впроваджувати зміни без прямої влади
  • Самостійність, бажання розв’язувати складні задачі, створювати ефект масштабу через автоматизацію, наставляти інших і зміцнювати культуру безпеки

Бажано мати:

• Досвід захисту AI-інструментів: укріплення каналів LLM та агентських конвеєрів, робота з підказками, інтеграція інструментів та MCP, захист від ін'єкцій підказок, витоків даних та небезпечних дій агентів
• Досвід захисту Kubernetes, включаючи укріплення кластеру, RBAC, політики мережі, контроль прийому, ізоляцію робочих навантажень та безпеку образів і ланцюжка поставок
• Досвід захисту інфраструктури AWS, включаючи IAM, мережеву та облікову архітектуру, управління ключами і секретами, CSPM
• Досвід розробки AI-підтримуваних інструментів безпеки або внутрішніх платформ самообслуговування безпеки
• Досвід наставництва або технічного керівництва командою безпеки
• Просунуті сертифікати з наступальної або спеціалізованої безпеки, такі як OSAI, OSEP, OSCP або OSWE

Що ви отримаєте натомість:

• Роботу в компанії, яка дбає про баланс роботи і життя
• Щорічну премію, основану на результатах оцінки ефективності
• Щедру політику щорічних відпусток
• Медичне страхування та пенсійний фонд, з додатковими пакетами пільг залежно від локації
• Гібридний режим роботи (3 дні в сучасному офісі та 2 дні повністю віддалено)
• Комплексну політику workation з 30 додатковими віддаленими днями
• Можливість брати два додаткові оплачувані дні на рік для волонтерської діяльності

Capital.com публікує цю вакансію на власному сайті кар'єри. Заявки направляються безпосередньо Capital.com: використовуйте кнопку "Apply" на цій сторінці.