Специалист / Эксперт по информационной безопасности (InfoSec / DevSecOps)

Обязанности:
Чем предстоит заниматься (Задачи по направлениям):
1. Governance & Compliance (Управление рисками и комплаенс)
- Проведение оценки рисков ИБ (Risk Assessment) и ведение Реестра рисков.
- Разработка, аудит и совершенствование внутренних процессов ИБ, а также разработка верхнеуровневой Политики ИБ (совместно с IT и руководством).
- Участие в подготовке и прохождении внешних аудитов (PCI DSS, ЦБ, ISO 27001).
- Согласование принятия неизбежных бизнес- и технических рисков (Risk Acceptance).
- Взаимодействие с регуляторами и другими внешними службами в сфере безопасности.
- Обучение и повышение осведомлённости сотрудников Компании по вопросам ИБ.
2. Мониторинг, SIEM, сканирование и расследование инцидентов
- Определение перечня логируемых событий и путей для SIEM и FIM.
- Настройка правил корреляции, фильтров и алертинга инцидентов в SIEM (в тесной связке с инфраструктурной командой IT/DevOps).
- Проектирование и постоянный мониторинг ключевых метрик ИБ.
- Регулярное проведение внутреннего сканирования инфраструктуры, контейнеров и исходного кода на уязвимости.
- Выявление угроз, анализ критичности уязвимостей по шкале CVSS и проведение расследований инцидентов ИБ.
- Периодический ревью-аудит актуальности прав и избыточных доступов (включая IAM, системы каталогов, системы управления репозиториями и привилегированный доступ sudo/root).
3. Безопасность CI/CD и DevSecOps (Зона совместной ответственности)
- Управление секретами: Разработка политик безопасности и матриц доступа к хранилищу секретов (определение прав сервисов и пользователей на чтение конкретных путей) при полном отсутствии прямого доступа ИБ к открытым значениям продуктивных секретов.
- Защита инфраструктуры CI/CD (Hardening): Ответственность за формирование требований и обеспечение полного контроля безопасности платформ версионирования кода и автоматизации (включая обязательное использование двухфакторной аутентификации (MFA), запрет публичных репозиториев, ограничение времени жизни и прав токенов), а также настройку проверок качества и безопасности (Quality Gates) с автоматической блокировкой сборки/деплоя при наличии критических уязвимостей.
- Безопасная разработка (DevSecOps): Контроль внедрения единых корпоративных шаблонов конвейера сборки (CI/CD pipelines) с интегрированными инструментами сканирования кода и зависимостей (SAST, Secret Detection, Dependency Check).
- Контроль изменений: Ответственность за обеспечение и соблюдение «принципа четырёх глаз» (Mandatory Code Review / 4-Eye Principle) при внесении изменений в код и его выпуске в продуктивную среду (совместно с командой разработки).
4. Сетевая безопасность и управление доступом
- Установление и контроль соблюдения SLA на устранение выявленных уязвимостей (совместно с IT-департаментом).
- Согласование матриц межсетевого экранирования (Firewall / WAF rules) и правил сетевой сегментации (VLAN, CNI, PCI DSS Zone).
- Проектирование ролевой модели доступов (RBAC) и матриц привилегий.​​​​​​​

Требования:

- Понимание основ информационной безопасности и принципов работы/архитектуры средств защиты информации (FW, IPS, SIEM, система управления секретами и др.).
- Опыт работы в департаментах/отделах ИБ (желательно в сфере FinTech, банковском секторе или IT с высокими требованиями к безопасности).
- Знание требований локального законодательства и международных стандартов (ISO 2700x, PCI DSS, требования регуляторов/ЦБ).
- Опыт проведения внутренних сканирований уязвимостей, работы с SIEM-системами, мониторинга метрик ИБ и расследования инцидентов.
- Опыт разработки и проведения программ повышения осведомлённости сотрудников по безопасности (Awareness).
- Опыт успешного взаимодействия с регуляторами и внешними проверяющими органами.
- Понимание процессов сборки ПО, CI/CD и практик DevSecOps.
- Наличие опыта разработки регламентов, политик ИБ и прохождения аудитов.
- Знание русского и английского языков (для работы с технической документацией и международными стандартами).​​​​​​​

Условия:

​​​​​​​​​​​​​​- Чёткое разделение полномочий (Segregation of Duties): Прозрачные регламенты (RACI) исключают хаос и перекладывание несвойственных задач — каждый отвечает за свой контур (IT отвечает за инфраструктуру и патчинг, ИБ — за политики, комплаенс, мониторинг, сканирование и контур DevSecOps).
- Социальная защищённость: Прозрачные условия трудоустройства, стабильная «белая» заработная плата, оплата больничных и отпусков.
- Профессиональный рост: Возможность работать со сложными распределёнными системами, сильная команда и высокая экспертиза коллег.
- Уровень дохода: Обсуждается индивидуально по итогам собеседования в зависимости от вашей квалификации.