Senior инженер по информационной безопасности

Overgear — международная e-commerce платформа для геймеров, работает с 2017 года, ориентирована на рынки США и Европы. Компания ищет Senior Information Security Engineer — специалиста, который возьмёт ownership за безопасность продукта и инфраструктуры и будет подчиняться напрямую CTO.

Что предстоит делать

• Оценить текущее состояние информационной безопасности, определить ключевые риски и сформировать roadmap развития ИБ на год.
• Находить и устранять уязвимости в веб-приложениях и API (REST, GraphQL), включая бизнес-логику платежей, заказов и выплат.
• Усиливать безопасность инфраструктуры: Cloudflare / WAF, Kubernetes, внутренние сервисы, админ-панели, SSO и управление секретами.
• Выстроить процессы обнаружения и реагирования на инциденты: логирование, мониторинг, алерты, расследования и postmortem.
• Интегрировать безопасность в процессы разработки: проверки в CI/CD, безопасность зависимостей и цепочки поставок, стандарты безопасной разработки и работы с AI-агентами.
• Вместе с антифрод-командой защищать аккаунты клиентов и исполнителей от взломов, фишинга, мошенничества и компрометации выплат.
• Управлять безопасностью доступов сотрудников и подрядчиков: MFA, SSO, управление правами и своевременный отзыв доступов.
• Организовывать внешние пентесты, выстраивать процесс обработки сообщений об уязвимостях и повышать осведомлённость команд о безопасности.

Требования

• Опыт от 4 лет в AppSec, Product Security, Cloud Security, пентесте либо разработке / DevOps с сильной экспертизой в безопасности.
• Глубокое практическое понимание OWASP Top 10, API Security Top 10, включая уязвимости бизнес-логики, которые сложно обнаружить автоматическими сканерами.
• Умение читать и писать код: в приоритете TypeScript / Node.js, опыт написания скриптов на Python или Go.
• Опыт работы с Linux, Docker, Kubernetes, облачными и edge-сервисами (Cloudflare, AWS или аналоги), понимание сетей и TLS.
• Знание OAuth 2.0 / OIDC, принципов аутентификации, авторизации и типичных ошибок их реализации.
• Практический опыт расследования инцидентов: анализ логов, восстановление таймлайна, сдерживание угроз и postmortem.
• Способность самостоятельно оценивать риски, определять приоритеты и аргументировать технические решения команде разработки и бизнесу.
• Русский язык — свободный рабочий, английский — от B2.

Будет плюсом

• Опыт в e-commerce, fintech, marketplaces или gaming, особенно в задачах антифрода, защиты платежей, KYC и chargebacks.
• Участие в bug bounty, обнаружении CVE, CTF или выступлениях на профильных конференциях.
• Опыт с IAM/SSO, GraphQL, Next.js, low-code платформами и системами мониторинга / детекта (Grafana/Loki, Datadog, SIEM).
• Понимание рисков LLM и AI-агентов, практический опыт с PCI DSS и GDPR.

Условия

• Формат работы: удалённо, с пересечением по времени ±3 часа от МСК.
• Занятость: полная, график 5/2, рабочие часы — 8.
• Возможность получать вознаграждение в EUR / USD / RUB / USDT.
• Прямое подчинение CTO, автономность и возможность выстроить ИБ-направление.