DevSecOps Lead

В Компании PIM Solutions https://pimsolutions.ru открыта вакансия DevSecOps Lead

Раньше у нас был десяток инстансов и тройка железок. Сегодня это три облака, пара десятков Kubernetes-кластеров, 400+ виртуальных машин, 300+ репозиториев и десятки проектов на PHP, Scala, C# и Python, с фронтендом на Vue и React. PCI DSS стал частью повседневной работы, а к нему добавился ГОСТ Р 57580.

Чем предстоит заниматься

• Стратегия и процессы. Выстроить DevSecOps-направление: роадмап, приоритеты и работающие практики. Перестроить SDLC так, чтобы безопасность закладывалась уже на постановке задачи: моделирование угроз, security review, проверки в пайплайне, контроль перед продом.
• Сканирование на всех уровнях. SAST, SCA, DAST, образы, IaC и инфраструктура для всех наших языков. Делать это общими шаблонами GitLab CI на 300+ репозиториев, а не 300 самописными вариантами, и так, чтобы разработчики не мечтали всё отключить.
• Управление уязвимостями от обнаружения до закрытия, с приоритетами, а не отчётом на 300 страниц.
• Безопасный Kubernetes. RBAC, сетевые политики, admission-политики, образы только из доверенных реестров, одинаково во всех кластерах.
• WAF с нуля перед публичными сервисами: выбрать решение и настроить правила под наши приложения, не блокируя легитимных клиентов.
• Облака и секреты. Единые правила для Google Cloud, Yandex Cloud и Selectel. Секреты только в Vault, а не в репозиториях и переменных окружения «на время».
• Данные и платформы. Доступы в Data Mesh, безопасные настройки по умолчанию для ZeroCode-платформы.
• Аудиты PCI DSS и ГОСТ Р 57580. Поддерживать контур, собирать доказательства, закрывать замечания, чтобы аудит проверял то, что мы и так делаем каждый день, а не превращался в аврал.
• Процедуры ИБ (доступы, изменения, инциденты, уязвимости): написать и внедрить так, чтобы их выполняли, а не доставали к аудиту.
• Культура безопасности. Короткие регулярные обучения, понятные памятки, secure coding с разбором OWASP Top 10 на примерах из нашего кода.
• Работа с SRE. Общий мониторинг и алертинг в Prometheus, Grafana и ELK, где видно не только падения, но и подозрительную активность. Общие разборы инцидентов и изменения, которые повышают и надёжность, и безопасность.
• Легаси. Там, где код быстро не переписать, внедрять компенсирующие меры, чтобы он не оставался самым слабым местом.
• Связующее звено между разработкой, эксплуатацией, SRE и CTO. Предлагать современные решения и автоматизировать всё, что можно.

Что важно в вашем опыте

• 1-2 года релевантного опыта в DevSecOps