Тимлид в команду безопасности Финтеха
Информационная безопасность
Санкт-Петербург
Полная занятость
Описание
Мы ищем сильного тимлида в команду информационной безопасности Яндекс Финтеха. Вы возглавите группу Security Engineers и будете отвечать за архитектуру и реализацию защитных механизмов в высоконагруженной финтех-платформе. Ваша задача — выстроить процессы, обеспечить соответствие регуляторным требованиям и защитить инфраструктуру, данные и сервисы от киберугроз.
Какие задачи вас ждут:
Управление командой
Вам предстоит руководить группой Security Engineers, ставить задачи, приоритизировать проекты, проводить код-ревью и архитектурные ревью, помогать в развитии компетенций.
Стратегия и архитектура безопасности
Вы будете проектировать и внедрять защитные механизмы для облачной и гибридной инфраструктуры, приложений, API и данных, а также участвовать в архитектурных комитетах.
Процессы и автоматизация
Нужно будет выстраивать процессы безопасной разработки (SSDLC), внедрять инструменты SAST/DAST/SCA, автоматизировать проверки безопасности, интегрировать security в CI/CD.
Инцидент-менеджмент
Вам предстоит организовать процессы обнаружения, реагирования и расследования инцидентов, вести playbooks, проводить постмортемы. Необходимо обеспечивать соответствие внутренним политикам, отраслевым стандартам и регуляторным требованиям: 152‑ФЗ, 187‑ФЗ, PCI DSS, ISO 27001 и другим — в зависимости от специфики компании.
Взаимодействие со смежными командами
Вы будете работать с командами разработки, DevOps, платформы, тестирования, комплаенса, а также с внешними аудиторами. Предстоит поддерживать документацию по безопасности актуальной, готовить отчёты для руководства, обучать команды лучшим практикам.
Больше о безопасности в Яндексе — в канале Yandex for Security
Мы ждем, что вы:
- Более пяти лет работали в сфере информационной безопасности, из них не менее двух лет — в руководящей роли (тимлида или руководителя направления)
- Внедряли и применяли инструменты безопасности: SIEM, WAF, IDS/IPS, EDR/XDR, сканеры уязвимостей, инструменты для анализа кода и зависимостей
- Глубоко понимаете модели угроз, принципы Secure by Design, подходы к защите облачных сред (AWS, Azure, GCP, Yandex Cloud), контейнеризации, микросервисов и API
- Понимаете процессы SSDLC, умеете внедрять security-практики в инженерные процессы
- Знаете актуальные стандарты и требования (ISO 27001, NIST, PCI DSS и т. п.) и проходили аудиты или сертификации
- Имеете сильные лидерские и коммуникативные навыки: умеете договариваться, аргументировать свою точку зрения, обучать и мотивировать команду
Будет плюсом:
- Работали в финтехе или высокорегулируемых отраслях
- Выстраивали программы Bug Bounty или управляли внешними пентестами
- Проектировали и внедряли архитектуру Zero Trust
- Имеете профессиональные сертификаты: CISSP, CISM, OSCP, OSCE, CCNA Security, AWS Security Specialty и т. п.
- Умеете писать скрипты (Python, Go, Bash) для автоматизации задач безопасности
Какие задачи вас ждут:
Управление командой
Вам предстоит руководить группой Security Engineers, ставить задачи, приоритизировать проекты, проводить код-ревью и архитектурные ревью, помогать в развитии компетенций.
Стратегия и архитектура безопасности
Вы будете проектировать и внедрять защитные механизмы для облачной и гибридной инфраструктуры, приложений, API и данных, а также участвовать в архитектурных комитетах.
Процессы и автоматизация
Нужно будет выстраивать процессы безопасной разработки (SSDLC), внедрять инструменты SAST/DAST/SCA, автоматизировать проверки безопасности, интегрировать security в CI/CD.
Инцидент-менеджмент
Вам предстоит организовать процессы обнаружения, реагирования и расследования инцидентов, вести playbooks, проводить постмортемы. Необходимо обеспечивать соответствие внутренним политикам, отраслевым стандартам и регуляторным требованиям: 152‑ФЗ, 187‑ФЗ, PCI DSS, ISO 27001 и другим — в зависимости от специфики компании.
Взаимодействие со смежными командами
Вы будете работать с командами разработки, DevOps, платформы, тестирования, комплаенса, а также с внешними аудиторами. Предстоит поддерживать документацию по безопасности актуальной, готовить отчёты для руководства, обучать команды лучшим практикам.
Больше о безопасности в Яндексе — в канале Yandex for Security
Мы ждем, что вы:
- Более пяти лет работали в сфере информационной безопасности, из них не менее двух лет — в руководящей роли (тимлида или руководителя направления)
- Внедряли и применяли инструменты безопасности: SIEM, WAF, IDS/IPS, EDR/XDR, сканеры уязвимостей, инструменты для анализа кода и зависимостей
- Глубоко понимаете модели угроз, принципы Secure by Design, подходы к защите облачных сред (AWS, Azure, GCP, Yandex Cloud), контейнеризации, микросервисов и API
- Понимаете процессы SSDLC, умеете внедрять security-практики в инженерные процессы
- Знаете актуальные стандарты и требования (ISO 27001, NIST, PCI DSS и т. п.) и проходили аудиты или сертификации
- Имеете сильные лидерские и коммуникативные навыки: умеете договариваться, аргументировать свою точку зрения, обучать и мотивировать команду
Будет плюсом:
- Работали в финтехе или высокорегулируемых отраслях
- Выстраивали программы Bug Bounty или управляли внешними пентестами
- Проектировали и внедряли архитектуру Zero Trust
- Имеете профессиональные сертификаты: CISSP, CISM, OSCP, OSCE, CCNA Security, AWS Security Specialty и т. п.
- Умеете писать скрипты (Python, Go, Bash) для автоматизации задач безопасности