Руководитель отдела информационной безопасности

Привет! Я Саша, CTO Профи.ру. Наш сервис помогает клиентам находить профессионалов для разных задач, а специалистам — зарабатывать на том, что они умеют и любят делать.

У Профи.ру большой и разнородный технологический периметр: веб и мобильные приложения, платёжные сценарии, собственная инфраструктура, внешние интеграции. Продукт постоянно развивается, а вместе с ним появляются новые задачи по безопасности. Хотим системнее работать с рисками и учитывать их ещё на этапе проектирования и разработки.

Ищу человека, который возьмёт на себя развитие этого направления. Здесь важно сочетать инженерную работу и лидерство: погружаться в технические задачи, выстраивать процессы безопасности и постепенно развивать команду.

На старте важно разобраться, как сейчас устроена безопасность продуктов и инфраструктуры, определить наиболее существенные риски и договориться с командами о приоритетах. Отдельно предстоит разобраться с новыми рисками вокруг ИИ и выстроить подход к требованиям партнёров и регуляторов.

Работать предстоит напрямую со мной и в тесной связке с разработкой, инфраструктурой, биллингом и юристами.

В продуктовой разработке используем React, React Native, TypeScript и PHP. Инфраструктура собственная, приложения и сервисы работают в Kubernetes.

• Влиять на продукт. Безопасность здесь не сводится к проверкам перед релизом. Сможешь участвовать в архитектурных и продуктовых решениях на самом старте, особенно там, где речь идёт о платёжных сценариях и интеграциях.

• Совмещать инженерную работу и лидерство. У нас широкий круг задач: от AppSec и инфраструктуры до требований партнёров и регуляторов. Предстоит самостоятельно выбирать приоритеты и решать, куда направлять усилия. Можно глубоко погружаться в технические задачи и при этом влиять на то, как устроена безопасность в компании.

• Постепенно расширять масштаб роли. По мере развития направления появится возможность нанимать людей, развивать команду и брать на себя больше управленческой ответственности.

В первые три месяца

• Погрузиться в архитектуру продуктов, инфраструктуру, платёжные сценарии и ключевые интеграции Профи.ру.

• Оценить основные риски и вместе с командами определить, какие из них нужно закрывать в первую очередь.

• Сформировать план развития информационной безопасности на год: какие практики стоит усиливать в первую очередь, где достаточно изменить процесс, а где нужны технические решения.

В ближайшие полгода-год

• Участвовать в ревью архитектуры и кода новых функций и интеграций, находить уязвимости и риски в бизнес-логике до выхода изменений в продакшн.

• Развивать практики безопасной разработки и встраивать нужные проверки в CI/CD так, чтобы они помогали разработке, а не превращались в формальный барьер.

• Вместе с инфраструктурной командой усиливать безопасность Kubernetes, сети и управления доступами.

• Проводить и организовывать пентесты, оценивать найденные уязвимости и помогать командам расставлять приоритеты исправлений.

• Продумать подход к рискам, связанным с ИИ: разобраться в новых сценариях использования и определить разумные требования к ним.

• Развивать процессы, необходимые для работы с требованиями партнёров и регуляторов, вместе с юристами и другими командами.

• По мере роста задач определять, какая экспертиза нужна внутри направления, участвовать в найме и постепенно формировать команду.

• Сильный практический опыт в AppSec или Product Security. Умеешь проводить ревью архитектуры и кода, находить уязвимости и участвовать в пентестах. Не только выстраиваешь процессы, но и самостоятельно погружаешься в технические задачи.

• Глубокое понимание безопасности веб-приложений и их бизнес-логики. Умеешь находить уязвимости, оценивать реальные сценарии атак и определять приоритеты исправлений.

• Знание PHP-экосистемы. Значительная часть нашего бэкенда написана на PHP, поэтому важно уметь читать код и понимать характерные для него риски.

• Опыт развития процессов безопасности в продуктовой компании. Знаешь, как встроить проверки и требования безопасности в разработку, чтобы они работали на практике.

• Умение договариваться с разными командами. Предстоит объяснять риски разработчикам, инфраструктуре, юристам и партнёрам, учитывать их ограничения и вместе находить решения.

• Умение работать с неопределённостью. Можешь самостоятельно расставлять приоритеты, выбирать подходы и принимать решения, когда нет готового процесса или однозначного ответа.

Что мы за это предлагаем

• Пересмотр зарплаты и грейда дважды в год — держим уровень рынка или выше.

• Опционы тем, кто круто себя проявит.

• Полный день со свободным графиком: классный офис в Москве или удалёнка. Рабочее время не контролируем.

• 100% ДМС — со стоматологией и лечением онкологии.

• Технику для работы — ноутбук на Mac или Windows и всё, что понадобится. Включая подписки на AI-инструменты.

• Обучение: оплатим профильные курсы, конференции и митапы. Проводим крутые хакатоны и тренинги.

• Скидку на Профи.ру — компенсируем до 3450 рублей gross от стоимости заказа.

• Книги: электронная библиотека «Альпины» и книжная полка в офисе.

• Завтраки в офисе: запеканки, каши, лосось с авокадо, круассаны и другая вкуснятина :)

• Вечеринки, которые сложно назвать корпоративом: покоряем горнолыжные склоны, устраиваем фестивали, собираемся в разных городах.

• Плюшку на выбор каждый месяц — компенсируем 50% стоимости, до 6900 gross рублей: спорт, психотерапия, массаж, check-up, коворкинг, няня или сиделка, парковка у офиса, обустройство рабочего места, мед. услуги вне ДМС или ДМС для родственника.