Head of Security Engineering

Обязанности

• Определять и обеспечивать соблюдение архитектуры безопасности для AWS и Azure: организация и проектирование landing zone, service control policies и Azure Policy, сегментация сети и приватное подключение, шифрование и управление ключами (AWS KMS, Azure Key Vault), базовые уровни логирования и мониторинга.
• Отвечать за периметр и периферию: WAF и защита от DDoS, VPN и доступ в модели zero-trust, DNS, сертификаты и управление экспозицией всего, что обращено к интернету.
• Вести управление уязвимостями end to end: обнаружение активов, сканирование, приоритизация по эксплуатируемости и влиянию на бизнес, SLA по устранению с отслеживанием совместно с командой инфраструктуры.
• Встраивать безопасность в новую инфраструктуру с самого начала: threat-model и ревью изменений архитектуры, определение безопасных паттернов для повторного использования другими инженерами, и при необходимости говорить «нет» с рабочей альтернативой.
• Отвечать за Active Directory: административное tiering, гигиена привилегированных групп, базовые уровни Group Policy и Conditional Access.
• Проектировать и вести модель группового доступа: least privilege в AWS IAM, Azure RBAC, Kubernetes RBAC, базах данных, сетевых устройствах и SaaS; единый вход (SSO) и устойчивый к фишингу MFA везде; управление привилегированным доступом (PAM) с just-in-time повышением прав для администраторов; протестированные процедуры break-glass.
• Отвечать за конвейер телеметрии безопасности в SIEM: AWS CloudTrail, логи входа и аудита AD и Entra; EDR; audit logs Kubernetes; логи WAF, VPN, сети и приложений. Определять, что собирается, как долго хранится и какой это стоит.
• Рассматривать безопасность как код: Terraform-модули с безопасными значениями по умолчанию; policy-as-code (Open Policy Agent, правила AWS Config, Azure Policy), применяемые в пайплайнах и в runtime; обнаружение дрейфа и автоматическое исправление там, где это безопасно.
• Отвечать за безопасность API для внутренних и клиентских API (REST, WebSocket, FIX и потоковые интерфейсы рыночных данных): паттерны аутентификации и авторизации, работа с токенами и ключами, rate limiting и защита от злоупотреблений, правила gateway и WAF, валидация схем, логирование событий, значимых для безопасности.
• Автоматизировать сбор доказательств и непрерывный мониторинг контролей, чтобы аудиты ISO 27001 и SOC 2 становились побочным продуктом обычной эксплуатации.
• Быть техническим владельцем технологических контролей ISO/IEC 27001:2022 Annex A (A.8) и эксплуатации контролей SOC 2 (критерии Security и Availability). Поддерживать внутренние аудиты, surveillance-аудиты и полевые работы SOC 2 Type II.
• Сопоставлять технические контроли с DORA: framework управления ИКТ-рисками, ежегодная программа цифрового операционного resilience-тестирования (оценки уязвимостей, penetration tests, сценарные тесты, готовность к threat-led penetration testing) и технические входные данные для реестра ИКТ-третьих сторон.
• Проводить security review ИКТ-третьих сторон и облачных сервисов. Поддерживать документацию по shared responsibility и потокам данных.

Требования

• Опыт. 6+ лет практической работы в инфраструктуре, облаке или security engineering, из них 3+ года с безопасностью как основной зоной ответственности, в регулируемой среде финансовых услуг — брокеридж, трейдинг, платежи, банкинг или криптосервисы.
• AWS и Azure в production. Безопасность сложных multi-account / multi-subscription гибридных ландшафтов на обеих платформах: IAM и RBAC, сеть и приватное подключение, KMS и Key Vault, логирование и нативные сервисы детектирования, landing zones и принудительное применение политик. Вы проектировали инфраструктуру, а не только её ревьюили.
• Active Directory. Глубокие практические знания AD — tiering, Group Policy, Conditional Access, гибридная идентичность, типичные пути атак и способы их закрытия — плюс enterprise IAM и PAM, проектирование и governance прав доступа.
• Detection and response. Вы строили и настраивали детекции в SIEM и EDR, отвечали за качество алертинга и вели инциденты безопасности end to end под давлением времени. Понимаете, как Security Operations Center работает изнутри — а также что такое отчёт SOC 2.
• Автоматизация. Terraform (или эквивалентный IaC), security gates в CI/CD, безопасность Kubernetes и контейнеров, policy-as-code и уверенный скриптинг на Python, Bash и PowerShell. Достаточно хорошо понимаете API, чтобы защищать их и автоматизировать через них.
• Инфраструктура криптоактивов. Практический опыт защиты систем кошельков или управления ключами, бирж или криптоплатёжных рельсов — подпись через HSM или MPC, разделение hot/cold, мониторинг потоков транзакций.

Условия

• Надёжность: официальное трудоустройство с первого дня, бонусы, ежегодная оценка сотрудника (пересмотр зарплаты или бонус, обратная связь по результатам работы).
• Стабильность: наши клиенты в разных странах, поэтому мы готовы к любым изменениям в работе любой страны.
• Развитие: много проектов и продуктов, что означает рост экспертизы в работе с разными технологиями или даже переход на совершенно новые для вас внутри компании.
• Активная корпоративная жизнь: участвуем в тематических конференциях и форумах в нашей сфере, корпоративные вечеринки в лучших ресторанах города с участием звёзд и т.д.
• Комфорт: офисы в разных странах. Можно работать из любой точки мира.