Product Security Quality Assurance Engineer (w/m/d)

Автоматический пересказ вакансии на русском. Полный текст на языке оригинала и форма отклика — на сайте работодателя.

Инженер по обеспечению качества безопасности продуктов в подразделении Aesculap (B. Braun) в Туттлингене. Отвечает за security-верификацию и валидацию активных медицинских изделий, тестирование на проникновение, DevSecOps и управление уязвимостями.

Задачи

• Планировать и проводить security verification и validation для активных медицинских изделий
• Верифицировать security requirements и меры threat mitigation, оценивать их эффективность
• Проводить code- и document reviews, эксплоративные security-тесты, поддерживать планирование и проведение пентестов
• Разрабатывать security-тест-стратегии, спецификации и методы тестирования для активных и сетевых медицинских изделий, документировать результаты
• Развивать DevOps-платформу в направлении DevSecOps, интегрировать security-функции и обеспечивать работу security-toolchain
• Отвечать за интеграцию и развитие инструментов vulnerability management, Polarion, IriusRisk, SBOM и vulnerability monitoring, security gates в CI/CD
• Анализировать уязвимости из внутренних источников, от поставщиков и из security-тестов, помогать в приоритизации и сопровождать до верификации мер
• Участвовать в incident handling, patch deployment, мерах по End of Life и End of Service
• Выстраивать непрерывный vulnerability monitoring для новых и существующих продуктов
• Поддерживать threat modeling и оценки residual risk с точки зрения тестов и уязвимостей
• Консультировать продуктовые команды по security-тест-стратегиям, процессам уязвимостей и безопасной инфраструктуре разработки, внедрять глобальные product-security SOPs

Требования

• Высшее образование в области информатики, технической информатики, электротехники или смежной специальности либо многолетний релевантный опыт
• Более пяти лет опыта в security testing, качестве ПО, vulnerability management или DevSecOps, желательно в регулируемых медицинских изделиях
• Опыт с git, глубокие знания Linux-систем и bare-metal систем, опыт с C/C++ и Python
• Практический опыт с методами security-тестирования: penetration testing, SAST, DAST, SCA, а также оценка и приоритизация findings
• Хорошие знания в security requirements management, security risk management и оценке threat mitigation
• Знание полного жизненного цикла ПО и требований IEC 62304 и IEC 81001-5-1; знание CRA будет плюсом
• Опыт vulnerability management, incident handling, patch deployment и непрерывного мониторинга уязвимостей, желательно работа с сообщениями поставщиков
• Опыт DevSecOps-процессов и security-toolchains: vulnerability management, Polarion, IriusRisk, SBOM-инструменты, vulnerability monitoring, CI/CD security gates
• Желательно опыт валидации инструментов разработки и безопасности, составления тест-планов, тест-отчётов и технической документации
• Свободное владение немецким и английским языками

Условия

• Привлекательная и справедливая оплата по тарифному договору ERA «Metall- und Elektroindustrie Baden-Württemberg»
• Корпоративная пенсионная программа
• Собственный корпоративный ресторан с разнообразным и сбалансированным питанием
• Корпоративная больничная касса с широким спектром услуг
• Возможна работа в формате job sharing

Навыки

• git
• Linux
• bare-metal
• C
• C++
• Python
• Penetration Testing
• SAST
• DAST
• SCA
• Vulnerability Management
• Polarion
• IriusRisk
• SBOM
• CI/CD
• DevSecOps
• Threat Modeling
• IEC 62304
• IEC 81001-5-1