Про посаду

Наразі ми оновлюємо веб-сайт, деякі елементи навігації можуть змінитись під час цього процесу.

🇺🇦 Ми надаємо наші можливості всім установам, які допомагають захищати Україну в критичній інфраструктурі, обороні та уряді.

Повернутись до списку

Інженер з безпеки додатків

Київ, Україна・Львів, Україна・Повний робочий день・Гнучка дистанційна робота

Можливість

Ця посада відкрита виключно для жителів України (бажано Київ або Львів).

Ми шукаємо Інженера з безпеки додатків, який приєднається до нашої команди інженерів з безпеки та працюватиме з нами над створенням та руйнуванням програмного забезпечення. Якщо ви зацікавлені у проектуванні та створенні елементів безпеки, роботі в тісній співпраці з розробниками програмного забезпечення, проведенні оцінки безпеки, це може бути посада для вас.

Ми готові вкладати час у ваше навчання, якщо ви готові працювати сумлінно та відповідально. Поряд з технічними навичками, ми навчимо вас лідерству, управлінню часом, бізнес-контексту та тому, як продовжувати покращувати кібербезпеку, незважаючи на все більшу ентропію світу.

Ми є компанією, що надає рішення з безпеки даних, пропонуючи індивідуальні рішення інноваційним командам розробників програмного забезпечення по всьому світу. Наше програмне забезпечення добре відоме серед команд, що усвідомлюють безпеку, рекомендовано OWASP, і популярне завдяки простому вирішенню складних задач безпеки. Крім створення "готових" рішень, ми розробляємо індивідуальні елементи безпеки для нових проблем.

Ми працюємо в сфері B2B, з клієнтами, такими як IIoT, системи на основі AI / ML, критично важливі системи, робототехніка, навігація, оператори енергосистем, процесори платежів, фінансові додатки, юридичні компанії, додатки для мільйонів користувачів. Ми обслуговуємо як молоді амбіційні стартапи, так і добре зарекомендували себе підприємства, які використовують наше програмне забезпечення та рішення як ключову частину свого арсеналу безпеки. Наші клієнти розумні, але надзвичайно вимогливі.

Ринки: ЄС, Великобританія, США, Україна.

Це звучить цікаво?

Що ви будете робити

• Проводити оцінку безпеки та перевірку коду та поведінки систем (веб, API, сервери).
• Проводити аналіз ризиків та моделювання загроз.
• Шукати слабкі місця та вразливості в програмному забезпеченні в нових галузях та сферах.
• Брати участь у SSDLC для наших продуктів та продуктів наших клієнтів. Пояснювати ризики та загрози, працювати з розробниками для вибору елементів безпеки, які покращать безпеку без обмеження функціональності/продуктивності.
• Брати участь у формуванні та покращенні практик безпеки організації разом з внутрішніми командами та власниками бізнесу (оцінка ризиків, розробка політик безпеки та допомога командам у створенні більш безпечних систем та процесів).
• Спілкуватися про технічні питання безпеки з технічною та нетехнічною аудиторією (менеджери C-рівня, розробники, власники продуктів).
• Заглиблюватися в безпеку додатків, інфраструктуру, хмарну та локальну інфраструктуру, спеціалізовану апаратуру, безпеку IoT, безпеку ML та дивні речі за межами звичайної уяви разом з нашою командою кваліфікованих інженерів. Перегляньте приклад нашої роботи.
• Залишатися в курсі нових загроз безпеки, вразливостей та контрольних заходів, читаючи статті, документи та керівництва NIST. Слідкувати за оновленнями CVE та розуміти, як змінюється ландшафт загроз.
• Сприяти розробці стандартів відкритого коду, таких як стандарти та керівництва OWASP.

Чого ми очікуємо від вас

• 3+ роки роботи Інженером з безпеки додатків або аналогічна посада.
• Досвід проведення оцінки безпеки для веб-додатків та хмарних систем.
• Досвід проектування та впровадження безпекових процесів та елементів безпеки в технічно різноманітному середовищі.
• Знання стандартів перевірки безпеки додатків та рамок зрілості програмного забезпечення: OWASP SAMM, OWASP ASVS, OWASP MASVS.
• Розуміння SSDLC та його складностей: OWASP SSDLC, NIST SSDF.
• Навички спілкування: ви будете спілкуватися про технічні питання безпеки з технічною та нетехнічною аудиторією (менеджери C-рівня, розробники, власники продуктів).
• Загальне розуміння того, що таке інформаційна безпека, як реальні ризики та загрози впливають на вибір елементів безпеки. Як поєднувати виявлювальні, превентивні та коригувальні контрольні заходи.
• Досвід роботи з популярними інструментами безпеки, необхідними для роботи, або здатність швидко їх вивчати (Burp Suite, мережеві аналізатори, різні SAST та DAST, сканери залежності та вразливостей).

Буде плюсом

• Певна сфера експертизи та глибокий інтерес до веб, мобільних, IoT, інфраструктурних питань – сфера, де ви "бачили речі" та готові ділитися досвідом.
• Базові знання з криптографії: розуміння відмінностей між симетричною та асиметричною криптографією, хешуванням, KDF.
• Знання в одній із кількох бізнес-сфер: банківські фінанси/обробка платежів, криптовалюти, IoT, апаратне забезпечення та ICS.
• Розуміння стандартів та методологій безпеки (NIST, ISO, CMMI, SOC).
• Розуміння управління ризиками та моделювання загроз (NIST RMF, FAIR, STRIDE, MITRE ATT&CK).
• Практичний досвід у мовах скриптування: Python або Bash.

Процес найму

• Перегляд резюме – до 5 робочих днів.
• Тест-завдання – передбачуваний час 3-4 години.
• Знайомче співбесіда з керівником відділу безпеки.
• Технічна співбесіда з кількома членами команди.
• Перевірка досьє.
• Обговорення пропозиції.

Зверніть увагу, що ви можете бути ідеальним кандидатом, навіть якщо не все, що ми описали вище, стосується вас. Якщо у вас є питання, будь ласка, не соромтеся запитувати – кожен унікальний.

Що ми пропонуємо

Унікальна сфера експертизи

• Цікаві та складні завдання в прикладній інженерії безпеки: від створення до руйнування.
• Робота на перетині різних областей: проектування елементів безпеки ML, підтримка криптографічних протоколів елементами безпеки, захист апаратного забезпечення, створення мобільних додатків, стійких до зворотної інженерії, забезпечення безпеки веб-додатків для мільйонів користувачів тощо.
• Поєднання технологій: криптографія, програмна інженерія, інформаційна безпека. Вам не буде нудно :)
• Громадський досвід у відкритій частині наших продуктів, поділення своєю роботою у вигляді публікацій у блогах, наукових статей та виступів на конференціях. Ми співпрацюємо з інноваційними компаніями по всьому світу, швидко рухаємося вперед і занурюємося в технології, про які інші лише чули.

Середовище

• Дружня та досвідчена команда: розумні люди, від яких можна чимало чого навчитися, чудові люди, з якими можна працювати. Кожен із нас унікальний, ми цінуємо та підтримуємо один одного.
• Атмосфера, яка мотивує вас зростати та ставати розумнішими щомісяця, здорове співвідношення рутини/експериментування.
• Довіра: графік, звітність, бюрократія зведені до мінімуму. Ми наймаємо розумних людей і довіряємо їм робити правильні речі. Коли щось йде не так, ми допомагаємо, а не караємо.
• Спільне прийняття рішень: цей бізнес керується інженерною досконалістю, тому інженери є важливою частиною тактичних та стратегічних бізнес-рішень.
• Дружнє ставлення до людей: не просто формальний відпустку та лікарняний лист. Вам потрібно подбати про свій психічний чи фізичний стан? Візьміть деякий час. Хочете попрацювати кілька днів вдома? Звичайно. Поки ви на курсі, ми тут, щоб підтримати вас, коли вам цього не потрібно.

Зростання

• Команда, яка сприяє внутрішньому навчанню та зростанню постійно.
• Цікаві технології, з якими можна працювати – іноді навіть унікальні (ми розробляємо застосовні криптографічні схеми та методи та нові способи їх використання).
• Цікаві інженерні завдання в усіх сферах, можливість переходити від проектування систем високого рівня до зворотної інженерії протоколів та розумних хитрощів моделювання даних.
• Увага керівництва до допомоги вам у досягненні ваших особистих цілей (через індивідуальні зустрічі та наставництво).

Переваги

• Конкурентоспроможна зарплата з гнучкою схемою бонусів.
• Лікарняний лист, 21 робочий день відпустки на рік, додаткові вихідні – відповідно до договорів та законів.
• Конференції, книги, курси – ми заохочуємо навчання та обмін з спільнотою. Наші команди часто виступають на конференціях, ворксхопах та публікують у блогах.

Не впевнені, але розглядаєте? Поговоріть з нами

Якщо ви бачите себе на цій посаді, але деякі речі не відповідають – не соромтеся все одно поговорити. Можливо, ваша унікальна комбінація навичок та знань буде ідеально підходити для нашого середовища, але ми обоє ще цього не знаємо.

Чому варто працювати в Cossack Labs?

Деякі компанії пріоритетно оцінюють таланти та пропозицію цінностей, а інші розуміють бізнес і приймуть будь-яку роботу, яка добре платить. Однак лише кілька компаній обирають спеціалізацію на складних завданнях як свою основну компетенцію.

Ми беремо на себе складні завдання, ми беремо на себе критично важливе програмне забезпечення та робимо його безпечним.

• Віртуалізація інфраструктури OT безпечно за наявності активних супротивників, запобігаючи їх доступу до вразливої загальнонаціональної мережі? ✓ Перевірено.
• Надання негайних рекомендацій щодо безпеки додатків та інфраструктури для критично важливих додатків, які будуть розгорнуті на тися