Application Security Engineer

Автоматический пересказ вакансии на русском. Полный текст на языке оригинала и форма отклика — на сайте работодателя.

Инженер по безопасности приложений в Nebius Academy (TripleTen), отвечающий за продуктовую безопасность end to end — от моделирования угроз и ревью дизайна до управления уязвимостями и встраивания security-контролей в CI/CD.

Задачи

• Отвечать за безопасность приложений и продукта end to end: от ревью дизайна и моделирования угроз до устранения уязвимостей и последующих действий
• Работать с продуктовыми и платформенными командами, встраивая безопасность в жизненный цикл разработки
• Строить и улучшать security-контроли в CI/CD: SAST, сканирование зависимостей, секретов, контейнеров и IaC
• Ревьюить дизайн приложений и код в местах значимого риска, превращать повторяющиеся находки в безопасные дефолты, общие библиотеки, lint-правила и CI-гейты
• Управлять уязвимостями в коде приложений и cloud-конфигурации: триаж, приоритизация по риску, сроки устранения, работа с находками внешних пентестов
• Усиливать безопасность мультитенантных B2B-систем: изоляция тенантов, аутентификация, авторизация, RBAC/ABAC, контроль доступа
• Заниматься безопасностью облака и Kubernetes в AWS: IAM, управление секретами, сетевые границы, харденинг ворклоадов
• Переводить требования GDPR, SOC 2 и ISO 27001 в практические инженерные контроли
• Развивать программу security champions, помогая командам внедрять безопасные практики
• Закрывать риски, специфичные для AI и LLM-фич: prompt injection, утечки данных, недоверенный вывод моделей

Требования

• 5+ лет инженерного опыта, из них минимум 2 года в Application Security или Product Security
• Сильный бэкграунд в разработке ПО: умение читать, ревьюить и писать production-код; опыт с Python крайне желателен
• Глубокие практические знания безопасности веб-приложений: OWASP Top 10, ASVS, аутентификация и управление сессиями, OAuth2/OIDC/SAML, IDOR и broken access control
• Опыт защиты мультитенантных или B2B SaaS-продуктов: изоляция тенантов, RBAC/ABAC, модели контроля доступа
• Практический опыт встраивания безопасности в CI/CD: SAST, SCA, сканирование секретов, контейнеров и IaC
• Сильный опыт моделирования угроз, secure design review и secure code review в сотрудничестве с продуктовыми и инженерными командами
• Опыт управления уязвимостями с учётом риска, критичности и эксплуатируемости, включая приоритизацию устранения и эскалацию
• Рабочее знание безопасности AWS и Kubernetes: IAM, управление секретами, сетевые границы, харденинг ворклоадов
• Сильные коммуникативные навыки и умение понятно объяснять риски инженерам, продакт-менеджерам и аудиторам
• Свободный русский и английский на уровне B2 и выше

Условия

• Поддерживающая и проактивная рабочая среда
• Конкурентная компенсация: 4000-6000 EUR gross в месяц
• Полностью удалённая работа, полная занятость
• Современные цифровые инструменты для совместной работы
• Измеримые результаты по успехам студентов

Навыки

• Python
• OWASP Top 10
• ASVS
• OAuth2
• OIDC
• SAML
• RBAC
• ABAC
• SAST
• SCA
• secrets scanning
• container scanning
• IaC scanning
• threat modelling
• secure code review
• AWS
• Kubernetes
• IAM
• GDPR
• SOC 2
• ISO 27001
• LLM security
• prompt injection
• DevSecOps
• penetration testing
• SBOM
• SLSA