Senior Product Security Engineer

Distribusion Technologies — компания, развивающая B2B-платформу для наземных перевозок, объединяющую автобусных, железнодорожных и паромных операторов в 70+ странах с крупными онлайн-ритейлерами. Штаб-квартира в Берлине, команды распределены по всему миру.

Ищут первого выделенного Senior Product/Application Security Engineer, который построит практику AppSec с нуля. Предстоит работать с реальной поверхностью атаки: публичными партнёрскими API и платёжными потоками.

Задачи:

• Вести threat modeling и secure design reviews для высокорисковых изменений, партнёрских интеграций и платёжных потоков.
• Внедрять, настраивать и обеспечивать соблюдение security gates в GitLab CI/CD (SAST, SCA, сканирование секретов, DAST), минимизируя неудобства для разработчиков.
• Быть основным техническим владельцем триажа, воспроизведения и приоритизации находок из bug bounty, партнёрских пентестов и автоматических сканеров.
• Совместно с DevOps-командой внедрять организационные политики GCP, архитектуры IAM с минимальными привилегиями и Cloud Armor (WAF/rate limiting).
• Создать сеть security-чемпионов в инженерных командах и использовать автоматизацию и AI-инструменты для масштабирования код-ревью.
• Отвечать за управление уязвимостями от начала до конца: бэклог с ранжированием по риску, SLA на устранение, эскалация и закрытие находок вместе с командами.
• Определять объём и координировать ежегодный внешний пентест, готовить доказательства безопасной разработки для PCI-DSS и ISO 27001.

Требования:

• 5+ лет в Product/Application Security (или 3+ года плюс сильный опыт в software engineering/web-пентестах) с подтверждённым владением зоной ответственности.
• Умение читать и писать production-код (Python, Go, TypeScript, Ruby и др.), глубокое понимание веб-фреймворков, CI/CD и Kubernetes.
• Глубокие знания веб- и API-безопасности: модели аутентификации/авторизации (OAuth2, JWT), rate limiting, tenant isolation, IDOR, XSS.
• Сильные основы облачной безопасности (предпочтительно GCP): публичная экспозиция, гигиена секретов, правила WAF.
• Опыт проведения threat modeling и secure design reviews на реальных системах (STRIDE или аналоги).
• Практический опыт с SAST/SCA/сканированием секретов в CI (Aikido, Semgrep, Snyk или аналоги).
• Приоритизация по реальному риску, готовность предлагать компромиссы вместо требования идеала, умение понятно объяснять сложные риски инженерам и руководству.

Будет плюсом:

• Опыт защиты высоконагруженных multi-tenant B2B API.
• Использование AI-инструментов для ускорения триажа и ревью.

Условия:

• Удалённая работа с гибкой политикой, штаб-квартира в Берлине, международные возможности.
• Плоская организационная структура, ответственность и влияние на успех компании.
• Международная команда.
• Конкурентная зарплата.