Senior специалист по информационной безопасности
(IT Security)
FreedomAuto - AI-powered микросервисная экосистема по продаже автозапчастей (VIN, каталоги, логистика, real-time).
Платформа включает:
- 15+ микросервисов
- публичные API
- web + mobile клиенты
- интеграции с внешними партнёрами
- AI-модули
Мы строим систему, где безопасность - часть архитектуры, а не “надстройка после”.
Кого мы ищем
Практического инженера по информационной безопасности, который:
- умеет ломать системы в голове и руками
- находит и устраняет уязвимости на уровне конфигураций, инфраструктуры и процессов
- не ограничивается аудитами и отчётами
Это роль AppSec + DevSecOps + Security Testing (QA mindset)
Критичные аспекты безопасности проекта
- Персональные данные клиентов
- Интеграции с внешними API (каталоги, логистика)
- AI-first платформа
- Высокая нагрузка и требования к отказоустойчивости
Роль и зона ответственности
Вы отвечаете за реальный уровень безопасности, а не формальные регламенты:
- приложения
- инфраструктура
- сети
- процессы
Формат: Senior hands-on → рост до Lead / Head of Security
Чем предстоит заниматься
Архитектура безопасности
- Проектирование security-архитектуры системы
- Threat modeling (на уровне сервисов и продукта)
- Security review новых сервисов и интеграций
Безопасность API и микросервисов
- Аутентификация / авторизация
- JWT / OAuth2 / роли / доступы
- Защита REST API
- Контроль API abuse (rate limit, replay, brute force и др.)
Инфраструктурная безопасность
- Network security (VPN, firewall, сегментация)
- Secrets management (Vault и аналоги)
- Контроль SSL/TLS, сертификатов, ключей
- Hardening окружения (Linux, контейнеры, Kubernetes)
Практическая реализация (hands-on)
- Самостоятельно устраняет уязвимости на уровне:
- конфигураций
- инфраструктуры
- API-шлюзов
- security-политик
- Настраивает защитные механизмы:
- WAF
- rate limiting
- security headers
- access policies
- Работает с логированием и аудитом безопасности
Security Testing (как QA, но глубже)
- Проводит security-тестирование API (manual + automated)
- Пишет негативные сценарии (abuse cases)
- Проверяет:
- race conditions
- replay атаки
- privilege escalation
- Формирует security test cases
Offensive mindset (мышление атакующего)
- Моделирует реальные атаки на систему
- Пытается ломать:
- авторизацию
- API
- бизнес-логику
- Выявляет нестандартные уязвимости (не только OWASP)
Безопасность бизнес-логики
- Защита от:
- манипуляции ценами
- обхода логики заказов
- злоупотребления API
- аномального поведения клиентов
DevSecOps
- Интеграция security в CI/CD:
- SAST
- DAST
- dependency scanning
- Автоматизация security-проверок
- Контроль безопасности на этапе разработки
Процессы безопасности
- Vulnerability management
- Incident response
- Security monitoring
- Взаимодействие с DevOps и backend командами
- Формирование security best practices
Технологический контур
- Linux
- Docker / Kubernetes
- REST API
- JWT / OAuth2
- Vault / Secrets
- Network security (VPN, Firewall)
- CI/CD security
- PostgreSQL / Redis
- Monitoring / logging
- .Net Core
- ReactJS
Обязательные навыки
- 5+ лет в информационной безопасности
- Практический опыт защиты:
- backend-систем
- API
- микросервисной архитектуры
- Понимание:
- OWASP Top 10
- secure SDLC
- threat modeling
- Опыт:
- аутентификация / авторизация
- secrets management
- SSL/TLS
- Сетевая безопасность:
- Опыт расследования инцидентов
- Умение объяснять инженерам
Будет плюсом
- Опыт AppSec / DevSecOps
- Pentest (на уровне постановки и анализа)
- SIEM / SOC
- Cloud security
- PCI DSS / ISO 27001
- Построение security с нуля
Мы предлагаем
- Ключевую роль в архитектуре продукта
- Реальное влияние на безопасность всей экосистемы
- Рост до Head of Information Security
- Сильную инженерную команду
- Продукт, где безопасность встроена в систему
Важно
Мы не ищем формального ИБ-специалиста.
Нам нужен инженер, который:
- понимает, как системы ломаются
- умеет это воспроизводить
- умеет проводить нагрузочное тестирование и выявлять баги
- и умеет если необходимо закрыть все дыры самому или