Какие задачи решаются в команде безопасности

Что проверяют

Представляете ли вы, чем занимается безопасность в компании и как с ней работает Python-разработчик. Если вакансия в саму команду безопасности, проверяют, понимаете ли вы, что будете писать инструменты и автоматизацию. Следом просят назвать уязвимости, которые вы встречали в своём коде.

Как отвечать

Разложите безопасность на направления, так ответ звучит инженерно:

• AppSec: моделирование угроз на этапе дизайна, ревью опасных мест, сканеры в CI: Bandit и Semgrep для кода, pip-audit для зависимостей, gitleaks для секретов в репозитории;
• инфраструктура: минимальные привилегии, секреты в Vault или облачном менеджере, сканирование образов контейнеров;
• мониторинг: сбор логов в SIEM, правила обнаружения, разбор алертов;
• реагирование на инциденты: изоляция, расследование, разбор причин, исправление;
• соответствие требованиям: 152-ФЗ о персональных данных, PCI DSS для платёжных данных, внутренние проверки.

Python-разработчик в такой команде обычно занимается автоматизацией: интеграции со SIEM и тикет-системой, обогащение данных по инцидентам, свои правила для Semgrep, внутренние сканеры.

Если вы разработчик в продуктовой команде, покажите, что знаете типовые дыры Python-кода: SQL через f-строку вместо параметров, pickle.loads и yaml.load без SafeLoader на недоверенных данных, subprocess с shell=True, eval, отключённая проверка сертификата через verify=False. OWASP Top 10 стоит упомянуть как общий язык с безопасниками.

Если этот вопрос задаёте вы, спросите, встроены ли безопасники в команды, блокирует ли сканер релиз и кто чинит найденное.

Где спотыкаются

Отвечают общими словами про «управление рисками» и тренинги по фишингу. Это правда, но инженерной части не видно.

Считают безопасность чужой задачей: «у нас есть отдел, они проверят». Большинство уязвимостей дешевле не допустить при написании кода.

Не могут назвать ни одной уязвимости, которую сами нашли или исправили. Даже один пример из ревью сильно меняет впечатление.