Senior Product Security Engineer

Close — компания, разрабатывающая CRM с 2013 года. Продукт включает AI-функции, коммуникационные инструменты для отделов продаж: email, звонки, SMS, рабочие процессы, отчётность. Команда из 120 человек работает полностью удалённо.

О продукте и технологическом стеке:

Бэкенд преимущественно на Python с сервисами на Flask и FastAPI, асинхронная обработка через TaskTiger и Temporal. API: REST и GraphQL. Хранение данных: MongoDB, PostgreSQL, Elasticsearch, Redis. Фронтенд — большое одностраничное приложение на TypeScript с React, сборка через Vite, тестирование с Vitest, React Testing Library, Playwright и Chromatic. Обновления в реальном времени с использованием WebSockets и WebRTC. Мобильное приложение на React Native. Сборка и тестирование Docker-образов в CI/CD с непрерывным развёртыванием в Kubernetes на AWS. Инфраструктура использует управляемые сервисы EKS, MSK, ElastiCache, а также EC2. Автоматизация инфраструктуры через Terraform и Ansible. Контейнеризованная среда локальной разработки.

Задачи:

• Находить уязвимости, определять наиболее значимые и доводить их до устранения.
• Часто самостоятельно исправлять проблемы, в других случаях предоставлять команде-владельцу чёткое воспроизведение, практический план действий и контекст для приоритизации.
• Анализировать код, создавать proof-of-concept, тестировать работающие приложения, настраивать или заменять шумные инструменты, автоматизировать повторяющиеся части управления уязвимостями.
• Тесно сотрудничать с командой инфраструктуры по облачной безопасности, доступам и секретам, а также с Security & Trust Lead по GRC-инжинирингу, целям соответствия SOC 2, аудитам и корпоративной безопасности.
• Иметь значительную свободу в определении того, где улучшение инструментов, более чёткое распределение ответственности и небольшой объём кода могут снизить наибольший риск.

Требования:

• Опыт работы инженером по безопасности приложений, умеющим писать код: способность перейти от чтения незнакомого кода к воспроизведению эксплойта и предложению или выпуску production-качественного исправления.
• Сильный опыт в Python или TypeScript; свободное владение как бэкендом, так и фронтендом будет преимуществом.
• Навык находить уязвимости, которые могут пропустить обычные сканеры: использование современных AI-ассистированных пайплайнов ревью под руководством эксперта для выявления тонких ошибок в веб-приложениях и API — от аутентификации, авторизации и изоляции тенантов до инъекций, SSRF, небезопасных потоков данных и бизнес-логики.
• Умение моделировать угрозы, проводить white-box ревью кода и тестировать работающие системы.
• Наступательный склад ума и операционная ответственность: тестировать как атакующий, не подвергая риску данные клиентов и production-системы; превращать находку в безопасное воспроизведение, оценивать эксплуатируемость и влияние на бизнес, перепроверять исправление.
• Опыт построения автоматизации.