Чем предстоит заниматься
Проработка безопасной архитектуры и её аудит
Вместе с командами инфраструктуры и сетевых инженеров мы определяем, можно ли использовать существующие подходы, нуждаются ли они в пересмотре, или необходимо разработать что-то совершенно новое. Мы также участвуем в проверке реализации — от соответствия архитектуре до поиска уязвимостей в коде и логике сервисов. В большинстве случаев сервисы пишутся на Golang, Python, C/C++, Java
Консультирование команд по вопросам безопасности
Команды, развивающие внешние площадки, уделяют особое внимание вопросам безопасности. Вы будете помогать командам принимать решения и доводить их до внедрения, учитывая ограничения и компромиссы. Предстоит определять, нужно ли шифрование канала и какое, каковы требования к безопасности площадки, защищены ли доступы к инфраструктуре и многое другое
Разработка инструментов и автоматизаций
Часть ваших задач — внедрение существующих инструментов в процессы работы команд. Другая часть — разработка новых инструментов, которые помогают успешно справиться с существующими и будущими проблемами. Инструменты могут быть самые разные: автоматизации вокруг SAST/DAST, улучшение внутренних процессов сервиса информационной безопасности, bleeding-edge вокруг workload identity или цепочки доверенной загрузки удалённых машин. Вы будете участвовать в принятии архитектурных решений и влиять на безопасность всей инфраструктуры, а значит, и всех сервисов Яндекса
Больше о безопасности в Яндексе — в канале Yandex for Security