Компания "Бифорком Тек"
Мы ищем инженера DevSecOps, который встроит безопасность на каждом этапе жизненного цикла
разработки и поставки ПО. Эта роль объединяет инженерные практики, принципы безопасности и
автоматизацию инфраструктуры, чтобы обеспечить защищенность, масштабируемость и
соответствие нашим конвейерам сборки, контейнерным средам и развертываниям в облаке и
on-premise. Вы будете тесно работать с командами DevOps, SRE и Security, чтобы автоматизировать
обнаружение угроз, усилить защиту CI/CD-систем и сделать безопасные рабочие процессы
стандартом по умолчанию для разработчиков.
Задачи:
- Защита конвейеров CI/CD. Проектирование и поддержка безопасных рабочих процессов CI/CD в
Jenkins, GitLab CI или аналогичных платформах (например, интеграция SAST/DAST, сканирование
секретов, проверка зависимостей). - Безопасность инфраструктуры. Автоматизация усиления защиты инфраструктуры (Kubernetes,
контейнеры, виртуальные машины, IaC) и внедрение базовых требований безопасности с
использованием инструментов вроде Terraform/OpenTofu, Pulumi, Ansible и стандартов CIS. - Управление уязвимостями. Внедрение сканирования уязвимостей для кода, образов и сред
выполнения, координация устранения проблем с инженерными командами. - Управление секретами. Проектирование и эксплуатация безопасных систем хранения и ротации
секретов (например, HashiCorp Vault, облачные KMS). - Мониторинг безопасности и обнаружение угроз. Развёртывание и настройка телеметрии
безопасности (SIEM, инструменты безопасности среды выполнения на базе eBPF, такие как
Falco/Cilium Tetragon). - Соответствие требованиям и аудит. Поддержка соответствия требованиям безопасности (ISO 27001,
SOC 2 и др.) через сбор доказательств и автоматизированное применение политик. - Реагирование на инциденты. Участие в первичной оценке инцидентов безопасности, анализе
первопричин и постмортемах для постоянного улучшения уровня защищённости. - Поддержка разработчиков. Создание инструментов, шаблонов и документации, которые делают
безопасное программирование и развёртывание стандартом для инженерных команд.
Требования: - Большой опыт работы в ролях DevOps или SRE с фокусом на безопасность.
- Практические навыки работы с системами CI/CD (GitLab CI, Jenkins, GitHub Actions и т. п.) и
автоматизации контрольных точек безопасности. - Уверенное владение инструментами IaC (Terraform, OpenTofu, Pulumi) и оркестрации контейнеров
(Kubernetes, Helm). - Знакомство с инструментами безопасности: сканерами SAST/DAST (SonarQube, OWASP ZAP),
защитой контейнеров (Trivy, Grype), сканированием IaC (Checkov, tfsec). - Знания по безопасности Linux, управлению идентификацией и доступом, концепциям безопасной
сети. - Опыт работы с облачными платформами (AWS, GCP, Azure) или частными облачными стеками
(Proxmox, OpenStack). - Программирование/скриптинг на Python, Go или Bash для автоматизации и создания инструментов.
Будет плюсом:
- Опыт работы с моделями безопасности zero-trust («нулевого доверия»), интеграцией OIDC/OAuth2 и применением политик RBAC/ABAC.
- Знание стандартов безопасности цепочек поставок (SLSA, SBOM, in‑toto).
- Участие в открытых проектах по безопасности или DevSecOps.
- Знания фреймворков соответствия (ISO 27001, SOC 2, NIST CSF) и автоматизированной генерации доказательств.
Условия: - 5/2, удаленный формат работы;
- Официальное трудоустройство (белая заработная плата, оплачиваемые отпуска, больничные);
- После прохождения испытательного срока ДМС.