DevSecOps-инженер по ИИ/ML

ООО «Цифровые технологии» — аккредитованная ИТ-компания, входящая в группу компаний «ЭКТО». Занимается цифровизацией и автоматизацией бизнес-процессов в нефтяной отрасли, а также развивает собственные ИТ-проекты.

Обязанности

Внедрение и поддержание процессов разработки безопасного программного обеспечения:

• Контроль и аудит процессов разработки ПО на базе ИИ-решений на соответствие требованиям ИБ: data pipelines, feature stores, experiment tracking, обучение и валидация моделей.
• Встраивание security controls в MLOps-пайплайны: сканирование ноутбуков, репозиториев с моделями, конфигураций обучения, артефактов MLflow / Kubeflow / Airflow.
• Защита данных для обучения: контроль обезличивания, разметки, внешних датасетов, соблюдение требований к конфиденциальности и персональным данным.
• Аудит цепочки поставки моделей (model supply chain): проверка зависимостей ML-библиотек, весов моделей, docker-образов с GPU-зависимостями, базовых образов CUDA.
• Контроль безопасности инференса (model serving): защита API моделей, rate limiting, валидация входных данных, контрмеры против adversarial attacks и prompt injection (для LLM-решений).
• Участие в threat modeling для ИИ-систем: риски утечки данных через модель (membership inference), model inversion, data poisoning, model stealing, jailbreaks.

Инфраструктура и CI/CD:

• Настройка и контроль SAST / DAST / SCA / secret scanning в репозиториях команд ИИ-разработки.
• Безопасность инфраструктуры обучения: Kubernetes с GPU-нодами, облачные ML-платформы, хранилища данных и моделей.
• Управление доступом: RBAC в ML-платформах, сегрегация сред (dev / staging / production для моделей), контроль привилегий Data Scientists и ML-инженеров.

Процессы и комплаенс:

• Разработка и актуализация регламентов по разработке безопасного программного обеспечения для ИИ-продуктов.
• Контроль соответствия требованиям регуляторов в области ИИ и данных (требования ЦБ РФ, 152-ФЗ, GDPR, ISO 27001, ГОСТ Р ИСО/МЭК 27001, рекомендации по ИИ).
• Подготовка отчётности по уязвимостям ИИ-решений и координация их устранения с командами разработки.
• Обучение команды ИИ-разработки базовым принципам разработки безопасного ПО: secure coding для Python/R, защита Jupyter-ноутбуков, безопасная работа с open-source моделями и внешними API (OpenAI, Anthropic, open weights).

Требования

Технические (hard skills):

• Опыт работы в роли DevSecOps, Application Security в технических командах от 2 лет.
• Понимание жизненного цикла разработки ИИ/ML: data preparation, training, validation, deployment, monitoring.
• Опыт работы с CI/CD (GitLab CI, GitHub Actions) и контейнерными оркестраторами (Docker, Kubernetes).
• Практический опыт со сканерами уязвимостей (SonarQube, Trivy, Snyk, Checkmarx, Aqua или аналоги).
• Знание методологий разработки безопасного программного обеспечения (OWASP ASVS, OWASP ML Top 10, OWASP LLM Top 10, SSDLC, CWE, CVE).
• Навыки работы с облачной инфраструктурой и понимание рисков при работе с GPU-инстансами и ML-платформами.
• Уверенное владение Python, Bash; понимание специфики зависимостей ML-экосистемы (PyTorch, TensorFlow, transformers, LangChain, pandas).

Личностные (soft skills):

• Способность выстраивать конструктивное взаимодействие с Data Scientists и ML-инженерами без блокирования экспериментов.
• Умение переводить риски ИБ в понятные для R&D-подразделения требования.
• Готовность к сотрудничеству и приоритезации задач в условиях быстрого цикла разработки ИИ-продуктов.

Желательные требования:

• Профильное высшее образование (информационная безопасность, программная инженерия, computer science, data science).
• Опыт работы в проектах с ИИ/ML от 1 года или понимание специфики MLOps.
• Опыт работы с ML-платформами: Kubeflow, MLflow, Airflow, DVC, Weights & Biases, Label Studio.
• Практические знания в области безопасности LLM: prompt injection, insecure output handling, overreliance, insecure plugin design (OWASP LLM Top 10).
• Опыт написания политик безопасности для Kubernetes (OPA/Rego, Kyverno) в контексте ML-нагрузок.
• Знание специфики защиты моделей: model encryption, signing, secure enclaves, federated learning security.
• Наличие сертификатов: CISSP, OSCP, CompTIA Security+, CKA, AWS/Azure Security Specialty — будет преимуществом.
• Понимание требований регуляторов к ИИ-системам (в том числе подходов к explainability, bias, auditability).

Условия

• Комфортный офис в центре Москвы (15 минут от ст. Арбатская, Тверская, Баррикадная).
• Испытательный срок: 3 месяца.
• ДМС после прохождения испытательного срока.
• График работы: 5/2, с 9:00 до 18:00. Возможность 1 удалённого дня в неделю (кроме понедельника и пятницы).
• Опыт работы: 3–6 лет.
• Занятость: полная.
• Формат работы: на месте работодателя.