Инженер по информационной безопасности в FinOps

FinOps — это направление, объединяющее платформенные и инфраструктурные сервисы, которые обеспечивают безопасность и стабильность платежей Яндекса. Сервисы FinOps обслуживают более 25% всех онлайн-платежей в России, а хранилище карточных данных, сертифицированное PCI DSS, — самое большое небанковское хранилище карт в Европе. Это накладывает высокие требования к надёжности и безопасности.

Работа в команде безопасности FinOps предполагает взаимодействие с высоконагруженными сервисами, современными архитектурными решениями и облачными технологиями.

Если вам интересно применять безопасность в реальных условиях, где от вас зависит защита критически важных финансовых процессов, и вы хотите быть частью команды с глубоким техническим стеком и серьёзным подходом к рискам — ждём вас.

Какие задачи вас ждут

Обеспечение безопасности сервиса
Вам предстоит выявлять уязвимости в исходном коде, API, мобильных и веб-приложениях, участвовать в архитектурных дизайн-ревью в части информационной безопасности, самостоятельно проводить внутренний аудит продуктов и сопровождать внешний. Нужно будет автоматизировать задачи по безопасности, внедрять и использовать инструменты DevSecOps: SAST, DAST, SCA и другие.

Консультирование команд по вопросам ИБ
Вы будете консультировать другие команды Яндекса по вопросам безопасности, согласовывать критичные изменения в коде и инфраструктуре сервисов. Необходимо будет взаимодействовать с командой разработки, совместно разбирать выявленные уязвимости и затем устранять их. Предстоит показывать, как правильно организовывать хранение критичных данных, интегрировать новые сервисы или устранять уязвимости.

Участие в проектах отдела безопасности
Вместе с коллегами вам предстоит участвовать в разработке и инициативах, которые улучшают безопасность всего Яндекса.

Мы ждем, что вы

• Анализировали защищённость веб-приложений
• Умеете искать баги в исходном коде, подтверждать уязвимости и демонстрировать POC
• Можете правильно определить корневую причину уязвимости и предложить защитные меры
• Владеете одним из языков программирования, например Go, Python или С++, можете читать код на нескольких языках
• Знаете основы Linux: биты, IPC, сокеты, файлы

Будет плюсом, если вы

• Занимались обеспечением безопасности Docker, Kubernetes или Linux
• Выстраивали безопасную разработку, внедряли SAST/DAST в цикл CI/CD
• Участвовали в Bug Bounty, разборе и запуске программ
• Умеете общаться с командами разработки, выступали в роли консультанта по безопасности
• Имеете собственные CVE, наработки и достижения в области безопасности мобильных и веб-приложений, допустимо смещение знаний в сторону offense с готовностью постигать defence