Аналитик по безопасности приложений (SSDLC)
Summary
Application security analyst on the secure development (SSDLC) team of Sberbank's pension fund (НПФ СБЕРБАНКА). Day to day: security audits of service architecture, writing and formalizing security requirements for products, liaising between business and IT and with the SSDLC vendor, consulting developers on fixing vulnerabilities, and controlling infrastructure and IT-asset changes. Leans on thre
НПФ СБЕРБАНКА активно развивает свою IT-экосистему.
Мы ищем аналитика в область безопасной разработки (SSDLC), который умеет выстраивать диалог между бизнесом и IT, анализировать риски и изменения в инфраструктуре, давать экспертное заключение по договорам и архитектурным решениям.
Основная задача: Обеспечивать защиту разрабатываемых и используемых приложений компании: архитектура, требования к ПО и интеграциям, контроль реализации требований.
- Обеспечить взаимодействие продуктовых команд с подрядчиком, внедряющим процесс SSDLC
- Участвовать с владельцем продукта во встречах с бизнес-заказчиками, обсуждение новых фичей
- Проводить аудиты безопасности разрабатываемых сервисов (архитектура, стандарты)
- Формировать и формализовывать требования безопасности для продуктов
- Принимать участие в обследовании бизнес-процессов, выявление проблемных мест, предложения по улучшению информационной безопасности
- Контролировать накопление технологического долга продуктовой командой
- Консультировать разработчиков и контролировать устранения выявленных уязвимостей
- Контроль изменений в инфраструктуре
- Контроль процесса управлениями ИТ-активами.
- Умеешь структурировать информацию и успешно доносить требования как до бизнес-заказчиков, так и до ИТ-экспертов
- Знаком с методами анализа угроз (атак, уязвимостей)
- Имеешь понимание ландшафта киберугроз для прикладного ПО: особенности внутренней инфраструктуры (общие и специфичные для отрасли АС) и внешней среды (злоумышленники, используемые инструменты и техники, а также характерные сетевые атаки)
- Имеешь навыки анализа и описания бизнес-процессов (AS IS, TO BE)
- Знаком с моделями угроз: KillChain, MITRE ATT&CK (основные TTP), Pyramid of Pain (IOC, UseCases) и баз данных уязвимостей
- Знаешь принципы REST API, JSON
- Знаешь SQL на уровне простых запросов(умение писать запросы)
- Работа в аккредитованной ИТ компании (актуально для всех действующих владельцев IT-ипотеки);
- Гибридный график работы (4 дня в офисе, 1 удалённо) и корпоративная техника;
- Заботу о здоровье: у нас есть ДМС и специальные условия для страхования семьи, стоматологии и ведения беременности;
- Программу адаптации: с первого дня работы простыми словами узнаешь о компании, коллегах, и что от тебя ждут в ближайшие три месяца;
- IT отсрочку от срочной службы;
- Скидки на продукты и услуги системы СБЕР.