About the Position

UPSTARS – продуктова IT-компанія, з якою злітають і люди, і бренди. Наш основний фокус – технологічні рішення та B2B-послуги для міжнародних клієнтів. Запускаємо зіркові проєкти у сфері iGaming, які отримують визнання та найвищі оцінки профільних рейтингів ✨

І так, підтримувати легальний та прозорий ринок України – це маст хев, тому третіми в країні отримали B2B-ліцензію на надання послуг у сфері азартних ігор.

У 2026 ми активно масштабуємо і проєкти, і дрім тім. Тому для підсилення Security команди шукаємо Senior DevSecOps Engineer.

Responsibilities

Побудувати базову операційну модель Application & Infrastructure Security: визначити ownership, SLA, процеси тріажу, винятків, прийняття ризиків, ескалацій і звітності;
Впровадити процес vulnerability management: виявлення вразливостей, пріоритизація, визначення відповідальних, контроль строків виправлення, управління винятками, remediation та метриками;
Інтегрувати security controls у SDLC та CI / CD: SAST, SCA, SBOM, secret scanning, container / image scanning, перевірки Dockerfile та поетапні quality gates у пайплайнах;
Побудувати базовий рівень supply chain security: контроль залежностей, lock-файли, підписування артефактів, захист CI / CD, protected branches та інші механізми безпеки;
Впровадити cloud та infrastructure security baseline через IaC: IAM Policies, KMS, CloudTrail, GuardDuty, Security Hub, IaC scanning та інші інструменти контролю безпеки;
Впровадити Kubernetes security controls: Pod Security Standards та / або Kyverno, Network Policies, RBAC review, admission control для контейнерних образів, audit logs і підходи до runtime security;
Співпрацювати з engineering та platform-командами над усуненням знахідок, зменшенням кількості false positives, покращенням secure coding practices, підготовкою політик, інструкцій та audit evidence для PCI DSS та інших аудитів.

Requirements

5+ років практичного досвіду в DevSecOps / Application Security;
Практичний production-досвід інтеграції security tools у CI / CD, зокрема GitLab CI та / або GitHub Actions;
Досвід роботи з SAST, SCA, secret scanning, container / image scanning та security quality gates, використання інструментів рівня Semgrep, SonarQube, Trivy, Snyk, Grype, Gitleaks або аналогів;
Розуміння безпеки CI / CD: protected branches, protected environments, secrets management, CODEOWNERS, принципів мінімізації прав для runners і service accounts;
Досвід побудови процесів vulnerability management: тріаж, пріоритизація, SLA, винятки, прийняття ризику, визначення відповідальних, звітність і зниження кількості false positives;
Розуміння supply chain security: SBOM, dependency pinning, lock-файли, artifact signing, provenance, ризики залежностей і складу програмного забезпечення;
Production-досвід у cloud security (переважно AWS): IAM Policies, Security Groups, KMS, CloudTrail, GuardDuty, Security Hub, Config Rules, VPC Design;
Досвід роботи з Kubernetes Security: Pod Security Standards, Network Policies, RBAC, admission control, image policy, audit logs;
Досвід роботи з IaC Security (переважно Terraform): tfsec, Checkov, policy-as-code або аналогічні рішення;
Впевнене написання автоматизації на Python, Bash або Go: власні етапи пайплайнів, автоматизація тріажу, API-інтеграції, звітність;
Розуміння OWASP Top 10, типових web-вразливостей, принципів безпечної розробки та практичних підходів до їх усунення;
Здатність працювати самостійно, пріоритизувати задачі, досягати результатів з мінімальним контролем та ефективно взаємодіяти з engineering, platform і business-командами.

Nice to Have

Досвід роботи в gambling, fintech або інших регульованих індустріях;
Практичний досвід роботи з PCI DSS, зокрема Requirement 6 та Requirement 11;
Досвід роботи з runtime security-рішеннями, такими як Falco, Tetragon або аналогами;
Досвід підписування контейнерних образів за допомогою Cosign / Sigstore або аналогічних інструментів;
Досвід роботи з DAST-рішеннями (OWASP ZAP, Nuclei тощо) та їх інтеграцією в staging-середовища;
Досвід проведення threat modeling із використанням STRIDE або аналогічних методологій для продуктів, API та інфраструктурних змін;
Досвід побудови Security Champions програм або розробки гайдлайнів і практик безпечної розробки;
Знайомство з CSPM-платформами (Wiz, Orca, AWS-native рішення або власна автоматизація);
Досвід роботи з Dependency-Track або аналогічними рішеннями для управління SBOM і вразливостями залежностей.

We Offer

Командність – гуртом не лише працюємо, а ще й відпочиваємо, двіжуємо і робимо добрі справи;
Позитив – з легкістю йдемо по життю і отримуємо драйв від круто зробленої роботи, цікавих задач і фідбеку тіммейтів;
Можливості – пропонуємо чіткий кар’єрний план з Performance Review, тренінги, менторинг-програми та інші інструменти для реалізації як у карʼєрі, так і у житті;
Сміливість – беремося за задачі із зірочкою, не боїмося викликів і амбітних планів;
Відкритість – говоримо прямо і просто навіть про складне, чуємо ідеї та фідбеки і цінуємо проактивність;
Маємо власні потужності для створення технологічних рішень з нуля;
Автоматизуємо рутину, щоб використовувати час для розвитку та професійного зростання всередині компанії;
Не любимо бюрократію та застарілі підходи – ми за свободу дій.

About the Company