Компания АО НПО «Эшелон» (является аккредитованной IT-компанией) специализируется на оказании услуг по сертификации, как обязательной, так и в рамках добровольной системы сертификации (СДС).
Основные направления Центра оценки соответствия и тестирования:
- Проведение внешнего и внутреннего тестирования на проникновение, анализа защищённости информационных систем, анализ кода и проверка безопасности ПО.
- Сертификация по требованиям ФСТЭК России.
- Оценка соответствия по требованиям ОУД в рамках проверки банковских приложений (требования ГОСТ ИСО/МЭК 15408, Профиля защиты ЦБ, положения Банка России).
- Проведение тематических исследований по требованиям ФСБ России.
- Проведение оценки по требованиям стандарта платформы Цифрового Рубля.
- Принятие участия в разработке стандартов в области защиты информации (в рамках в рабочей группы ТК-362).
- Внедрение процессов безопасной разработки по требованиям ГОСТ Р 56939-2024.
Обязанности:
- Проведение тестирования на проникновение и анализ защищённости программных продуктов: веб-приложений, десктопных и мобильных приложений, серверного и системного ПО. Проведение тестирования инфраструктуры, в которой функционирует продукт (внешние и внутренние системы).
- Проведение композиционного анализа ПО, выявление заимствованных (сторонних) компонентов и их зависимостей (SBOM), поиск известных уязвимостей в компонентах и оценка связанных рисков.
- Поиск секретов (учётных данных, ключей, токенов, паролей) в исходном коде и дистрибутивах ПО.
- Идентификация уязвимостей и оценка рисков для информационной безопасности.
- Разработка и выполнение сценариев атак для имитации действий злоумышленников, эксплуатация уязвимостей.
- Проведение тестирования на проникновение в инфраструктуру организации по моделям Purple Team, Red Team и по принципам Black/Gray/White Box Testing.
- Выявление угроз безопасности информации, в том числе со стороны легитимных пользователей.
- Документирование результатов тестирования: подготовка отчётов о проведённых тестированиях и анализе, оформление паспортов уязвимостей, повторная верификация устранения найденных уязвимостей для оценки эффективности внесённых исправлений.
Наши ожидания:
- Высшее/неоконченное техническое образование.
- Знание действующих нормативных требований в сфере защиты информации (24-ФЗ, 149-ФЗ, 152-ФЗ, 187-ФЗ и пр.).
- Опыт работы с системами защиты информации: SIEM, EDR/XDR, IDS/IPS, NGFW, WAF.
- Понимание сетевых технологий (TCP/IP, VLAN, NAT, VPN), знание модели OSI, принципов IP-маршрутизации, принципов работы прикладных протоколов (DNS, HTTP и пр.).
- Знание принципов виртуализации, контейнеризации и сервисов, составляющих инфраструктуру приложений (веб-сервера, СУБД и пр.).
- Понимание актуальных векторов атак и уязвимостей, а также наличие навыков выявления и эксплуатации уязвимостей OWASP Top 10.
- Опыт проведения тестирований на проникновение и (или) работы с результатами таких тестов.
- Опыт работы с инструментами тестирования на проникновение, сканерами безопасности.
- Умение писать эксплойты или PoC под известные уязвимости.
- Понимание принципов композиционного анализа и рисков, связанных с использованием сторонних компонентов, а также практик поиска секретов в коде и артефактах сборки.
- Хорошие аналитические навыки и опыт документирования результатов тестирования.
Будет плюсом:
- Знание английского языка на уровне понимания зарубежных стандартов.
- Наличие сертификатов в области информационной безопасности (CEH, OSCP, CISSP и др.)
- Опыт работы с инструментами композиционного анализа (OWASP Dependency-Check, Dependency-Track) и поиска секретов (gitleaks, TruffleHog).
- Опыт статического анализа кода (SAST).
- Опыт взаимодействия с командой SOC.
- Опыт анализа защищенности Windows.
- Опыт анализа защищенности мобильных приложений.
- Опыт работы администратором Linux или администратором сетевого оборудования.
- Желание в развитии методологии и стандартов тестирования на проникновение и анализа защищенности.
Мы предлагаем:
- Интересную работу в дружелюбном молодом коллективе с адекватным менеджментом.
- Участие в интересных проектах и задачах, связанных с информационной безопасностью.
- Прозрачную и понятную финансовую мотивацию (оклад + премиальная часть от выполненного проекта), а также возможность карьерного роста.
- Возможность участия в проведении обучающих мероприятий и консультаций для заказчиков (с дополнительной оплатой).
- Индивидуальный график работы (8:00-17:00; 9:00-18:00; 10:00-19:00).
- Официальное трудоустройство в соответствии с ТК РФ.
- Оплату мобильной связи.
- Оплату обучающих курсов для сотрудников.
- Обеспечение материально-технической базой (корпоративная техника - компьютеры, ноутбуки, мобильные устройства и пр.).
- Частичную компенсацию ДМС и абонемента в фитнес-клуб.
- Корпоративная пенсионная программа (дополнительные перечисления взносов работодателем в НПФ).
- Возможность внутреннего обучения, повышения квалификации в учебном центре компании.
- Возможность профессионального роста и самореализации, введение в рабочий процесс новых подходов и методик.
