Security Software Engineer Onsite

Автоматический пересказ вакансии на русском. Полный текст на языке оригинала и форма отклика — на сайте работодателя.

Инженер по безопасности ПО для программ DoD в регулируемой облачной среде (AWS Commercial/GovCloud, Azure GCC High). Отвечает за безопасную разработку, архитектуру безопасности и управление уязвимостями в соответствии с CMMC/NIST 800-171/FedRAMP.

Задачи

• Проектировать и разрабатывать безопасное ПО с security-first подходом на всех этапах SDLC
• Применять стандарты безопасного кодирования, threat modeling и устранение уязвимостей по NIST 800-53 и CMMC Level 2/3
• Проводить архитектурные ревью и hardening кода с учётом OWASP Top 10 и DoD STIGs
• Автоматизировать security-гейты в CI/CD (SAST, DAST, сканирование зависимостей, детекция секретов)
• Проектировать безопасные архитектуры систем и API для мультитенантных облачных сред, включая GCC High и FedRAMP-платформы
• Внедрять IAM-контроли, JIT-провижининг, SSO/SAML/OIDC и least-privilege авторизацию (Cognito, Azure AD)
• Оснащать приложения security-логированием и мониторингом для аудита и непрерывного мониторинга (AU/SI)
• Проводить код-ревью, SAST/DAST-сканирования и пентесты, документировать находки по фреймворкам контролей
• Триажить и устранять уязвимости в сроки POA&M, вести доказательства для комплаенс-аудитов
• Поддерживать incident response для событий уровня приложений, готовить after-action отчёты
• Быть security-чемпионом для инженерных команд, развивать культуру код-ревью и менторства
• Разрабатывать и проводить security-обучение и runbook'и для инженеров и DevOps
• Совместно с DevOps/SRE обеспечивать безопасный IaC, WAF-правила, сетевые контроли и runtime-мониторинг в AWS и Azure

Требования

• Степень бакалавра в Computer Science, Engineering или смежной области либо эквивалентный опыт
• 3+ года опыта разработки ПО с сильным фокусом на безопасность
• Владение одним или несколькими языками программирования (JavaScript/TypeScript, Python, Go, C#)
• Опыт безопасных практик кодирования и фреймворков
• Понимание принципов application security: OWASP Top 10, безопасный дизайн API/REST, основы криптографии, паттерны аутентификации/авторизации
• Опыт работы с инструментами сканирования кода (SAST/DAST), threat modeling и пентестами
• Знание требований NIST 800-171, CMMC или FedRAMP и сбора доказательств
• Практический опыт с security-сервисами AWS и/или Azure (IAM, WAF, Security Hub, Defender, Sentinel); опыт GCC High или GovCloud — плюс

Условия

• Предпочтителен опыт с container security (Docker, ECS)
• Знание принципов Zero Trust Architecture
• Опыт построения DevSecOps-пайплайнов в регулируемых средах; знакомство с Prisma, Checkov, Snyk, Aqua
• Приветствуются сертификации: CISSP, CSSLP, CASP+, OSCP, CEH, GIAC (GWAPT, GSEC, GWEB) или CCP/CCA
• Опыт защиты микросервисов или event-driven архитектур на ECS; опыт в федеральных или cleared-средах — плюс

Навыки

• JavaScript
• TypeScript
• Python
• Go
• C#
• OWASP Top 10
• SAST
• DAST
• Threat modeling
• Penetration testing
• NIST 800-171
• NIST 800-53
• CMMC
• FedRAMP
• AWS
• Azure
• IAM
• WAF
• Security Hub
• Defender
• Sentinel
• GCC High
• GovCloud
• Cognito
• Azure AD
• SSO
• SAML
• OIDC
• CI/CD
• Docker
• ECS
• Zero Trust
• Prisma
• Checkov
• Snyk
• Aqua
• IaC