Application Security Engineer

Автоматический пересказ вакансии на русском. Полный текст на языке оригинала и форма отклика — на сайте работодателя.

Application Security Engineer в Nebius Academy (TripleTen) — отвечать за безопасность продукта end to end: от threat modelling и secure design reviews до управления уязвимостями и встраивания security-контролей в CI/CD.

Задачи

• Отвечать за безопасность приложений и продукта end to end: от design reviews и threat modelling до устранения уязвимостей и последующих действий
• Работать с продуктовыми и платформенными командами, встраивая безопасность в жизненный цикл разработки
• Строить и улучшать security-контроли в CI/CD: SAST, сканирование зависимостей, секретов, контейнеров и IaC
• Проводить ревью архитектуры приложений и кода в местах значимого риска, превращать повторяющиеся находки в secure defaults, общие библиотеки, lint-правила и CI-гейты
• Управлять уязвимостями в коде приложений и cloud posture: триаж, приоритизация по риску, сроки устранения, работа с находками внешних пентестов
• Усиливать безопасность мультитенантных B2B-систем: изоляция тенантов, аутентификация, авторизация, RBAC/ABAC, контроль доступа
• Обеспечивать безопасность облака и Kubernetes в AWS: IAM, управление секретами, сетевые границы, hardening рабочих нагрузок
• Переводить требования GDPR, SOC 2 и ISO 27001 в практические инженерные контроли и свойства систем
• Развивать и поддерживать программу security champions для внедрения безопасных практик в командах
• Закрывать риски, специфичные для AI и LLM-фич: prompt injection, утечки данных, недоверенный вывод моделей

Требования

• 5+ лет инженерного опыта, из них минимум 2 года в Application Security или Product Security
• Сильный бэкграунд в разработке ПО: умение читать, ревьюить и писать production-код; опыт на Python крайне желателен
• Глубокие практические знания безопасности веб-приложений: OWASP Top 10, ASVS, аутентификация и управление сессиями, OAuth2/OIDC/SAML, проблемы авторизации (IDOR, broken access control)
• Опыт защиты мультитенантных или B2B SaaS-продуктов: изоляция тенантов, RBAC/ABAC, модели контроля доступа
• Практический опыт встраивания безопасности в CI/CD: SAST, SCA, сканирование секретов, контейнеров и IaC
• Сильный опыт threat modelling, secure design reviews и secure code reviews в сотрудничестве с продуктовыми и инженерными командами
• Опыт управления уязвимостями с учётом риска, критичности и эксплуатируемости, включая приоритизацию устранения и эскалацию
• Рабочие знания безопасности AWS и Kubernetes: IAM, управление секретами, сетевые границы, hardening рабочих нагрузок
• Сильные коммуникативные навыки, умение понятно объяснять риски инженерам, продакт-менеджерам и аудиторам
• Свободный русский и английский на уровне B2 и выше

Условия

• Поддерживающая и проактивная рабочая среда
• Конкурентная компенсация: 4000-6000 EUR gross в месяц
• Полностью удалённая и полноценная занятость
• Современные цифровые инструменты для бесшовной совместной работы
• Измеримые результаты по успехам студентов

Навыки

• Python
• OWASP Top 10
• ASVS
• OAuth2
• OIDC
• SAML
• RBAC
• ABAC
• SAST
• SCA
• secrets scanning
• container scanning
• IaC scanning
• AWS
• Kubernetes
• IAM
• CI/CD
• GDPR
• SOC 2
• ISO 27001
• LLM security
• prompt injection