VK·Москва·9 авг.
AppSec-инженер
Ориентир по рынку≈ 140 000 – 300 000 ₽наш грубый ориентир по 189 вакансиям этого грейда на рынке, без учёта специальности: у работодателя вилка не указана
🏢 ОфисMiddleПолная занятостьКорпорация
Стоит ли откликаться
Стоит откликнуться, но спросите про деньги
Вилку работодатель не назвал, но ориентир по рынку есть: он в строке «Деньги». Смущает только, что вакансия висит давно.
2 из 4 в норме
Висит давно: что спросить, чтобы не откликаться в пустоту
Деньги
Зарплату в объявлении не раскрыли. Грубый ориентир: столько платят в 189 вакансиях уровня Middle по всему рынку, без учёта специальности.
Живость
Открыта уже 71 день. Источник её держит, но за таким сроком часто стоит трудный найм или набор в резерв.
- Зарплата не указана
Описание
Обязанности: 7, требования: 13. Понятно, что за работа, ещё до отклика.
- Обещают
- аккредитованная IT-компания
Что требуют
ОбязательноPythonGoJavaRESTJSONCI/CDGitLab CIGitHub ActionsJenkins
ПлюсомDockerKubernetes
Надбавка к зарплате на этом уровне: Python +40%, REST +26%.
Полный разбор в Pro
Это короткий разбор. В Pro полный: под эту вакансию и ваше резюме
Сколько просить
Не продешевите: сумма под ваше резюме, нижняя граница и готовые фразы для торга
Ваше резюме против требований
Пройдёт ли ваше резюме фильтр: что совпало с требованиями и что дописать до отклика
Спросить у работодателя
Что стоит спросить: вопросы именно к этой вакансии для первого созвона
Когда откликаться
Стоит ли спешить: за сколько дней эта компания обычно закрывает вакансии
30 дней Pro: полный разбор каждой вакансииЧто ещё входит в Pro
Чем предстоит заниматься
Внедрение и развитие процессов Security SDLC: интеграция проверок безопасности на всех этапах разработки — от проектирования (Security Champions, threat modeling) до запуска в продакшен
Пентест и исследования: проведение ручного тестирования безопасности веб-приложений, мобильных приложений и API; участие в программах Bug Bounty
Работа со статическим и динамическим анализом кода (SAST/DAST): использование автоматизированных инструментов сканирования, триаж и написание рекомендаций по устранению
Код-ревью: проведение экспертного анализа исходного кода на предмет уязвимостей (OWASP Top 10, CWE)
Консультирование команд: тесная работа с разработчиками, архитекторами и DevOps-инженерами. Объяснение уязвимостей, помощь в поиске лучших способов их устранения, проведение воркшопов
Управление уязвимостями: классификация, приоритизация и контроль устранения найденных уязвимостей
Разработка безопасных стандартов: создание и внедрение чек-листов, гайдов и лучших практик (secure coding guidelines) для разработчиков
Наши требования
Опыт работы на позиции AppSec Engineer или пентестера веб-приложений от двух лет
Глубокое понимание OWASP Top 10, CWE Top 25, принципов построения веб-приложений и типовых уязвимостей
Опыт работы с одним или несколькими инструментами SAST, DAST, SCA (Burp Suite, OWASP ZAP и так далее)
Умение читать и понимать код на одном из языков программирования, например на Python, Go, Java, Java Script
Знание основных протоколов и технологий: HTTP/HTTPS, SSL/TLS, REST API, JSON Web Tokens (JWT)
Понимание принципов работы современных CI/CD-систем (GitLab CI, GitHub Actions, Jenkins)
Умение понятно объяснять сложные концепции безопасности разработчикам
Стремление автоматизировать рутину и постоянно учиться новому
Опыт проведения threat modeling
Навыки в области облачной безопасности
Знание контейнеризации (Docker, Kubernetes) и принципов DevSecOps
Наличие публичных работ (статьи, доклады, выводы CVE) или участие в программах Bug Bounty и конференциях
Соответствующие сертификации: OSCP, OSWE, GWEB, CSSLP и другие
Мы против мошенников на площадке: если тебя просят заплатить, продиктовать код или установить непонятное приложение, прекращай общение и сразу пиши нам (чат с основателем или форма обратной связи).