DevSecOps Lead

В Компании PIM Solutions https://pimsolutions.ru открыта вакансия DevSecOps Lead

Раньше у нас был десяток инстансов и тройка железок. Сегодня это три облака, пара десятков Kubernetes-кластеров, 400+ виртуальных машин, 300+ репозиториев и десятки проектов на PHP, Scala, C# и Python, с фронтендом на Vue и React. PCI DSS стал частью повседневной работы, а к нему добавился ГОСТ Р 57580.

Чем предстоит заниматься

• Стратегия и процессы. Выстроить DevSecOps-направление: роадмап, приоритеты и работающие практики. Перестроить SDLC так, чтобы безопасность закладывалась уже на постановке задачи: моделирование угроз, security review, проверки в пайплайне, контроль перед продом.
• Сканирование на всех уровнях. SAST, SCA, DAST, образы, IaC и инфраструктура для всех наших языков. Делать это общими шаблонами GitLab CI на 300+ репозиториев, а не 300 самописными вариантами, и так, чтобы разработчики не мечтали всё отключить.
• Управление уязвимостями от обнаружения до закрытия, с приоритетами, а не отчётом на 300 страниц.
• Безопасный Kubernetes. RBAC, сетевые политики, admission-политики, образы только из доверенных реестров, одинаково во всех кластерах.
• WAF с нуля перед публичными сервисами: выбрать решение и настроить правила под наши приложения, не блокируя легитимных клиентов.
• Облака и секреты. Единые правила для Google Cloud, Yandex Cloud и Selectel. Секреты только в Vault, а не в репозиториях и переменных окружения «на время».
• Данные и платформы. Доступы в Data Mesh, безопасные настройки по умолчанию для ZeroCode-платформы.
• Аудиты PCI DSS и ГОСТ Р 57580. Поддерживать контур, собирать доказательства, закрывать замечания, чтобы аудит проверял то, что мы и так делаем каждый день, а не превращался в аврал.
• Процедуры ИБ (доступы, изменения, инциденты, уязвимости): написать и внедрить так, чтобы их выполняли, а не доставали к аудиту.
• Культура безопасности. Короткие регулярные обучения, понятные памятки, secure coding с разбором OWASP Top 10 на примерах из нашего кода.
• Работа с SRE. Общий мониторинг и алертинг в Prometheus, Grafana и ELK, где видно не только падения, но и подозрительную активность. Общие разборы инцидентов и изменения, которые повышают и надёжность, и безопасность.
• Легаси. Там, где код быстро не переписать, внедрять компенсирующие меры, чтобы он не оставался самым слабым местом.
• Связующее звено между разработкой, эксплуатацией, SRE и CTO. Предлагать современные решения и автоматизировать всё, что можно.

Что важно в вашем опыте

• 1-2 года релевантного опыта в DevSecOps
• опыт выстраивания процессов ИБ, прежде всего Secure SDLC, которыми реально пользуются
• встраивание сканеров безопасности (SAST, DAST, SCA, образы, IaC, поиск секретов) в CI/CD
• защита Docker и Kubernetes
• публичные облака (Google Cloud, Yandex Cloud, Selectel или аналогичные): IAM, VPC, сетевые политики, managed-сервисы
• Infrastructure as Code: Terraform, Ansible или аналоги
• опыт с WAF: внедрение, настройка правил, разбор ложных срабатываний
• HashiCorp Vault (или аналоги), PKI/TLS
• практики безопасности на деле: наименьшие привилегии, сегментация сети, харденинг, шифрование, управление уязвимостями
• мониторинг, логи и алертинг (Prometheus, Grafana, ELK или аналоги)
• скрипты на bash и Python
• опыт администрирования Linux будет преимуществом: хорошее знание подсистем (диск, сеть, файлы, процессы) и понимание, как их защищают и как ломают
• умение договариваться с dev, ops и SRE и влиять без прямого подчинения: аргументами, а не регламентами
• умение объяснять безопасность простым языком, и разработчику, и бухгалтерии, а CTO говорить на языке рисков и денег
• самостоятельность, любознательность и готовность делиться опытом

Будет большим плюсом

• прохождение аудитов PCI DSS (сегментация CDE, ASV-сканы, пентесты) и ГОСТ Р 57580
• ISO 27001, 152-ФЗ
• построение security-функции с нуля
• запуск security awareness-программ, включая учебные фишинговые рассылки
• наём и развитие инженеров
• понимание сборки и зависимостей в JVM (Scala, sbt), .NET, Python и npm
• SIEM, IDS/IPS, runtime-защита контейнеров (Falco или аналоги)
• сертификация CKS
• опыт мультиоблачной и гибридной инфраструктуры

Что у нас

• 15 лет на рынке, 200 человек в компании, из них 50 в ИТ
• прямое подчинение CTO и работа со всеми командами на равных
• и легаси, и новые проекты: найдётся дело и тем, кто любит наводить порядок, и тем, кто любит строить с нуля
• стек: PHP, Scala, C#, Python, Vue 2/3, React, PostgreSQL, Redis, RabbitMQ, Kafka, GitLab CI, Vault, Prometheus, Grafana, ELK
• собственный Data Mesh на Airflow и корпоративная ZeroCode-платформа
• регулярные аудиты PCI DSS и ГОСТ Р 57580: безопасность у нас требование аудиторов, а не галочка

Условия

• гибридный формат, офис в Москве у м. «Краснопресненская»
• официальное оформление по ТК РФ
• зарплата обсуждается по итогам собеседования, в зависимости от компетенций