Инженер по безопасной разработке AppSec

Анализ кода и архитектуры проводить статический анализ (SAST) как ручным код-ревью, так и с помощью автоматизированных инструментов; разбирать результаты работы сканеров, отсеивать ложные срабатывания и ставить разработчикам задачи на исправление уязвимостей; участвовать в проработке и согласовании архитектуры приложений с точки зрения ИБ: проводить Threat Modeling (STRIDE, OWASP), выявлять архитектурные недостатки и аргументированно защищать свою экспертизу перед командами разработки; выполнять динамический анализ приложений (DAST) с использованием OWASP ZAP. Автоматизация и CI/CD внедрять и настраивать средства композиционного анализа (SCA/OSA), управлять SBOM; интегрировать все этапы проверок безопасности в CI/CD-пайплайны GitLab, разрабатывать скрипты автоматизации на Python, Golang или Bash; разрабатывать и кастомизировать правила для статического анализа (CodeQL, Semgrep/Opengrep); Процессы выстраивать и поддерживать процесс управления секретами; разрабатывать внутренние нормативные документы и стандарты безопасной разработки; консультировать IT-команды по вопросам написания безопасного кода и устранения уязвимостей; валидировать отчёты, поступающие по программам Bug Bounty, и сопровождать их отработку.