ОТП Банк

Discussion

Эксперт по информационной безопасности

Summary

Expert in information security for a bank’s AI and IT systems, modeling threats, triaging vulnerabilities, and ensuring compliance with banking regulations and AI security frameworks.

Чем предстоит заниматься:

  • Обеспечение информационной безопасности (ИБ) новых и существующих проектов и информационных систем.
  • Реализация подхода Shift Left Security для оптимизации взаимодействия между подразделениями ИТ и ИБ.
  • Проведение моделирования угроз (Threat Modeling) для приложений, сервисов и систем с последующей разработкой мер защиты.
  • Триаж уязвимостей, выявленных инструментальным анализом (SAST, DAST, SCA), включая оценку критичности, приоритизацию и координацию устранения.
  • Балансировка требований бизнеса, ИТ-инфраструктуры и уровня безопасности.
  • Выполнение роли играющего тренера (CISO) для команд выбранного бизнес-домена.
  • Участие в проектировании защищённых архитектур внутренних информационных систем банка с учётом требований ЦБ РФ, ФСТЭК, ФСБ, 115-ФЗ, 187-ФЗ, 152-ФЗ, PCI DSS и иных регуляторных норм.

Что мы ждём:

  • Практический опыт обеспечения безопасности LLM-приложений в промышленной эксплуатации: внедрение guardrails, LLM Gateway, механизмов маскирования PII и защиты от Prompt Injection.
  • Знание основных отраслевых стандартов и фреймворков: OWASP Top 10 for LLM Applications, MITRE ATLAS, NIST AI Risk Management Framework (AI RMF).
  • Опыт обеспечения безопасности AI-агентов и RAG-систем: разграничение полномочий, sandbox-изоляция, Human-in-the-Loop, защита инструментов и внешних интеграций.
  • Понимание принципов IAM, сегментации инфраструктуры и контроля доступа в AI-платформах.
  • Владение Python для автоматизации проверок безопасности, разработки PoC и верификации защитных механизмов.
  • Опыт обеспечения соответствия требованиям Стандарта Банка России (СТБ BR IBBS), Положения № 684-П, 716-П, 808-П.
  • Знание международных стандартов PCI DSS, NIST Cybersecurity Framework применительно к банковской сфере.
  • Анализ современных угроз для корпоративных ИТ-инфраструктур финансовых организаций.
  • Понимание принципов работы микросервисных архитектур и методов их защиты в банковской среде.
  • Приветствуется знание тактик, техник и процедур (TTPs), применяемых злоумышленниками, включая MITRE ATT&CK Framework.
  • Приветствуется опыт работы с инструментами статического (SAST), динамического (DAST) анализа и анализа зависимостей (SCA).
  • Навыки приоритизации уязвимостей на основе CVSS, эксплуатируемости и бизнес-рисков.

Будет плюсом:

  • Понимание принципов защиты моделей и AI Supply Chain, включая ML-BOM, защиту артефактов моделей и контроль зависимостей.
  • Опыт проведения оценки безопасности LLM, включая создание security evals, Red Teaming и использование инструментов Garak и PyRIT.
  • Опыт внедрения AI Governance и Secure AI SDLC.
Show