Lead, Application Security

Автоматический пересказ вакансии на русском. Полный текст на языке оригинала и форма отклика — на сайте работодателя.

Руководящая инженерная роль в Fanatics Momentum (ОАЭ): владение application security и DevSecOps end-to-end — тестирование безопасности приложений, встраивание контролей в CI/CD, защита AI-assisted разработки и supply chain.

Задачи

• Владеть возможностями тестирования безопасности приложений: SAST, DAST, IAST, SCA, secrets detection, сканирование контейнеров, IaC, API и мобильных приложений
• Управлять полным жизненным циклом платформ application security: оценка, внедрение, интеграция, настройка, обновления и оптимизация
• Настраивать правила и политики сканирования, частоту тестирования в зависимости от риска приложения
• Тюнить существующие rulesets и разрабатывать кастомные правила для снижения false positives
• Вести триаж, валидацию, приоритизацию и отслеживание устранения уязвимостей
• Строить автоматизированные workflow маршрутизации находок в команды разработки и контроля SLA
• Создавать self-service для разработчиков: интеграции в IDE, защищённые шаблоны, approved base images, hardened libraries
• Поддерживать сеть security champions в инженерных командах
• Разрабатывать secure-by-default инструкции и правила для AI coding assistants
• Проводить ручное тестирование высокорисковых фич, API и бизнес-логики перед релизом
• Валидировать критические уязвимости через proof-of-concept эксплуатацию в non-production окружениях
• Проектировать abuse-case тестирование для гемблинг-рисков: бонусный абьюз, race conditions кошелька, манипуляции ставками, account takeover
• Определять контроли supply chain security: управление зависимостями, подпись артефактов, provenance, SBOM
• Внедрять практики threat modeling для изменений приложений и AI-фич, включая prompt injection
• Встраивать генерацию security evidence в CI/CD для регуляторных требований и аудитов
• Строить security automation и внутренний тулинг, применять инженерные практики к security-инструментам
• Внедрять guardrails для AI-assisted разработки и тестировать LLM-фичи по OWASP Top 10 for LLM Applications
• Выстраивать отчётность по метрикам application security: покрытие тестированием, скорость устранения, false-positive rate

Требования

• 8+ лет опыта в software engineering, DevOps или cybersecurity, из них минимум 4 года hands-on application security
• Опыт владения и эксплуатации enterprise-платформ application security: HCL AppScan, Checkmarx, Veracode, Snyk, Wiz Code или GitHub Advanced Security
• Сильный hands-on опыт с SAST, DAST, IAST, SCA, secrets detection и сканированием контейнеров, включая настройку в масштабе
• Опыт интеграции security-контролей в CI/CD: GitHub Actions, GitLab CI или Azure DevOps
• Production-опыт кодинга хотя бы на одном из: Python, Go, Java/Kotlin, C# или TypeScript
• Глубокое понимание OWASP Top 10 и OWASP API Security Top 10, умение находить, эксплуатировать и устранять уязвимый код
• Практический опыт тестирования безопасности web и API: аутентификация/авторизация, инъекции, SSRF, десериализация, race conditions
• Опыт работы с Burp Suite или аналогами
• Hands-on опыт защиты AI-assisted среды разработки, включая AI coding assistants и агентов
• Знание OWASP Top 10 for LLM Applications и рисков вроде prompt injection
• Знакомство с безопасностью контейнеров, Kubernetes и практиками IaC
• Сильные коммуникативные навыки и умение влиять на инженерные команды
• Умение брать ownership, доводить до результата и балансировать безопасность со скоростью разработки

Условия

• Работа в регулируемой гемблинг-индустрии ОАЭ (лицензия GCGRA)
• Спектр продуктов: sportsbook, casino, lottery, digital content
• Поддержка со стороны Fanatics и Momentum, амбициозный и хорошо обеспеченный ресурсами бизнес
• Инклюзивный и прозрачный работодатель, ценящий разнообразие и инновации

Навыки

• SAST
• DAST
• IAST
• SCA
• secrets detection
• container scanning
• infrastructure-as-code scanning
• API security
• mobile application testing
• HCL AppScan
• Checkmarx
• Veracode
• Snyk
• Wiz Code
• GitHub Advanced Security
• GitHub Actions
• GitLab CI
• Azure DevOps
• Python
• Go
• Java
• Kotlin
• C#
• TypeScript
• OWASP Top 10
• OWASP API Security Top 10
• Burp Suite
• SSRF
• deserialization
• race conditions
• Kubernetes
• SBOM
• SLSA
• Sigstore
• CycloneDX
• SPDX
• OWASP Top 10 for LLM Applications
• prompt injection
• MITRE ATLAS
• NIST AI RMF
• ISO/IEC 42001
• LLM APIs