AppSec инженер
YADRO
УдалённоМоскваСанкт-ПетербургМинскНижний НовгородДубна LinuxSASTDASTSCAOWASPOWASP ASVSPythonJavaScriptTypeScriptC++REST APIgRPCGraphQLDefectDojoAppSec
AI-саммари
Компания ищет AppSec-инженера для контроля безопасности приложений: аудит кода, управление уязвимостями и развитие Secure SDLC. Нужен опыт в AppSec, знание OWASP и SAST/DAST/SCA, чтение кода на Python, JavaScript или C/C++. Плюсом будет опыт разработки и запуск Security Champions.
Обязанности
- Проведение SAST/DAST/SCA-анализа, триаж и приоритизация находок.
- Ручной и автоматизированный аудит кода, верификация уязвимостей и снижение доли False Positive.
- Управление уязвимостями: отслеживание жизненного цикла, контроль SLA на устранение, ретест исправлений.
- Контроль безопасности зависимостей и Supply Chain: формирование и анализ SBOM, отслеживание устаревших библиотек.
- Обучение разработчиков практикам безопасной разработки, развитие программы Security Champions.
- Разработка и поддержка процессов Secure SDLC, политик и стандартов ИБ для разработки.
- Разработка документации и методических материалов.
Требования
- Опыт работы в области безопасности приложений или разработки с уклоном в ИБ.
- Экспертные знания OWASP Top 10, OWASP ASVS, способов эксплуатации и корректного устранения уязвимостей.
- Практический опыт работы с инструментами SAST/DAST/SCA, понимание их сильных и слабых сторон, умение настраивать правила под кодовую базу.
- Уверенное чтение кода как минимум на одном из языков: Python, JavaScript/TypeScript, С, С++.
- Опыт ручного code review на предмет уязвимостей, умение отличать эксплуатируемую находку от шума.
- Понимание веб-технологий, архитектуры современных приложений и API (REST, gRPC, GraphQL).
- Опыт работы с ASOC/Vulnerability Management-платформами (DefectDojo и аналоги).
- Понимание процессов Secure SDLC и опыт их выстраивания в командах разработки.
- Умение выстраивать коммуникацию с разработчиками: аргументировать критичность, предлагать реализуемые варианты исправления.
Будет плюсом
- Будет плюсом: опыт разработки в продуктовой команде, опыт запуска Security Champions с нуля, профильные сертификации.
Источник: careers.yadro.com (YADRO) 2 сентября 2026