update: Вакансия отлично подойдет для тех, кто был в роли ИБ БП, а также для кандидатов с иным опытом управления команды ИБ.
ЗП в рынке

Application security(AppSec), WorkWave

Компания — крупный ретейлер с IT аккредитацией, масштабируется и ищет appsec cпецилистов, разного грейда от middle до senior-principal.
Зарплата: в зависимости от навыков и грейда, но уверенно в рынке!
График работы: 5/2, с 9:00 до 18:15 (в пятницу — до 17:00), гибридный / удаленный формат работы;

Чем предстоит заниматься:

- Проведение регулярного анализа безопасности приложений;
- Интегрирование мер безопасности в каждый этап жизненного цикла разработки (SDLC);
- Использование инструментов SAST, DAST, SCA для анализа;;
- Взаимодействие с командой разработки для устранения уязвимостей, внедрения исправлений и улучшений безопасности;
- Обеспечение соблюдения внутренних и внешних стандартов безопасности, таких как ГОСТ Р 56939-2024, OWASP, NIST и поддерживание соответствия требованиям внутренних нормативных документов и регуляторов ФСТЭК;
- Внедрение процессов и методик безопасной разработки для разработчиков;
- Анализ текущих и новых угроз, отслеживание трендов в сфере кибербезопасности и предложение проактивных мер защиты для проектов;
- Участие в расследовании инцидентов, связанных с курируемыми продуктами/проектами.

Наши требования:

- Глубокое понимание киберугроз и уязвимостей приложений (SQL Injection, XSS, CSRF, XXE и др.) и методов их предотвращения;
- Знание ключевых стандартов безопасности, таких как OWASP Top 10, CWE/SANS Top 25, моделей угроз и методологий, например STRIDE;
- Знание методов статического (SAST), динамического (DAST) и интерактивного анализа (IAST) безопасности и инструментов для их реализации;
- Опыт работы с инструментами анализа безопасности, такими как Burp Suite, OWASP ZAP, Solar App-screener, PTAI, BlackBox и др;
- Знание процессов CI/CD и принципов интеграции мер безопасности на каждом этапе разработки;
- Знание стандартов и требований безопасности для соблюдения регуляторных норм (ГОСТ Р 56939-2024, GDPR, PCI DSS, HIPAA, ISO 27001 и др.).;
- Навыки внедрения мер безопасности в процессы разработки и CI/CD с учетом AppSec и DevSecOps принципов;
- Опыт автоматизации задач безопасности;
- Знание языков программирования (например, Python, Java, JavaScript, C#) и принципов безопасного разработки;
- Опыт проведения аудитов безопасности, анализа рисков и тестирования на проникновение для выявления потенциальных уязвимостей;
- Умение создавать и вести документацию по процессам безопасности, инцидентам и мерам реагирования;
- Способность выявлять уязвимости, оценивать риски и разрабатывать меры для их минимизации;
- Опыт работы с Docker

Будет плюсом:
- Опыт тестирования Android/iOS приложений (знание MASTG);
- Опыт работы с Kubernetes.

Условия:
- Оформление по ТК РФ с официальной заработной платой;
- Возможность обучаться и сертифицироваться за счёт компании: внешние тренинги и семинары по профессиональным тематикам, отраслевые конференции, программа развития управленческих навыков, очные мастер-классы, платформы онлайн-образования и многое другое;
- Развитая система компенсаций и льгот;
- Широкий пакет ДМС (включая выезд за рубеж и стоматологию);
- Страхование жизни и здоровья;
- Программа привилегий Prime-zone (скидки на товары и услуги и специальные предложения от компаний-партнёров);
- Материальная помощь сотрудникам, попавшим в сложную жизненную ситуацию.

Контакты для связи:
@Ivan_IT_HR
@hh_stitch

Вакансия:  pentester/redteamer
Компания: M13 IT (в комьюнити - MISTeam) 
Формат: офис Москва/гибрид/удаленка
Уровень: middle/senior
Зарплата: 150 - 400 т.р. Зависит от скиллов и отдачи работника.

О компании:
М 13 — продуктовая аккредитованная IT-компания, разрабатывающая программные
продукты в области информационной безопасности, медиамониторинга и обработки больших данных.

Чем предстоит заниматься:
- Участие в интересных пентестах, red-team кампаниях, кибер-учениях.
- Исследование существующих и разработка новых специализированных инструментов для вышеописанных задач;
- Выявление и эксплуатация уязвимостей в информационных системах;
- Исследование / ресерч современных средств и систем обеспечения ИБ, написание эксплойтов;
- Анализ защищенности внешнего периметра и внутренней инфраструктуры корпоративных сетей заказчика;
- Анализ исходных кодов на php\Java\Python\Ruby\Go с целью поиска уязвимостей.

Наш идеальный кандидат:
- Имеет опыт практических red-team кампаний и пентестов;
- Хорошо понимает каждый элемент в цикле red-team killchain, имеет опыт участия во всех стадиях цикла;
- Разбирается в современных Web-уязвимостях и инструментарии для их поиска и анализа;
- Аналогично для бинарных уязвимостей, имеет опыт реверсинжениринга;
- Может читать документацию на английском языке без использования онлайн-переводчиков;
- Обладает техническим кругозором, не боится принимать решения самостоятельно.

Будет плюсом, если ты:
- Умеешь работать с BurpSuite на проф-уровне, знаешь архитектуру и умеешь разрабатывать плагины к нему;
- Умеешь реверсить и дебажить ПО;
- Понимаешь в криптографии, умеешь отличить блочные шифры от ассимметричной крыпты;
- Имеешь опыт разработки на питоне \ руби \ голанге, имеешь несколько проектов на гитхабе;
- Умеешь работать с SDR и имеешь практический опыт анализа сигналов;
- Имеешь профессиональные сертификаты по пентесту \ реверсу (CEH, OSCP, OSCE, OSWE, etc);
- Выступал на конференциях по безопасности, имеешь публичные статьи в журналах \ блогах.

Что мы ждем от кандидатов:
- Определенный опыт в выполнении предстоящих задач. Мы понимаем, что найти идеального кандидата очень сложно и поэтому приветствуем, если соискатель работы имеет опыт хотя бы в двух описанных областях (например Web+анализ исходных кодов, или реверс+SDR и т.д). Так же мы понимаем, что полных знаний в какой-либо области достичь невозможно, но очень приветствуем в кандидате постоянное стремление и развитие своих навыков. При этом, имея очень богатый опыт в своей области, мы стараемся постоянно «прокачивать» даже новичков, подкидывая им все более сложные и интересные задачи.

Ценности, которые мы формируем в нашей команде:
- Ответственность: у нас не принято перепроверять друг за другом, мы рассчитываем на ответственный подход каждого из членов команды;
- Доверие: мы полагаемся на наших коллег, а не контролируем их;
- Желание развиваться: мы даем возможность каждому учиться чему-то новому, брать на себя дополнительные обязанности и расти;
- Открытость: мы обсуждаем решения задач вместе, поощряем инициативу и справедливую критику.

Что мы предлагаем:
- Работу в аккредитованной ИТ-компании;
- Достойную белую заработную плату;
- Оформление по ТК РФ: оплачиваемый отпуск и больничный;
- ДМС после испытательного срока;
- Адекватное руководство, которому важен результат и слаженно работающая команда;
- Коллектив, который поможет быстро стать командным игроком и чувствовать себя на «одной волне» с нами;
- Возможность изучать новые технологии, посещать конференции и тренинги;
- Кофе, чай, фрукты, печеньки;
- Офис в 5 минутах от метро Арбатская

Контакт для связи: @virusvfv

Старший эксперт по кибербезопасности ИТ-проектов, 🅰️Альфа-банк

Формат: удаленно в РФ/гибрид.
Офисы в Москве, Санкт-Петербурге, сезонные коворкинги в Сочи
Оплата: оклад (по результатам интервью) + квартальная премия 15%

Задачи:
• Осуществлять экспертное сопровождение проектов по вопросам кибербезопасности в проектных Agile-командах, консультировать команды
• Обеспечивать соответствие требованиям законодательства и внутренним требованиям КБ в проектах
• Анализировать архитектурную документацию проектных Agile-команд по проектам
• Формулировать требования по КБ для проектов, контролировать их выполнение
• Выявлять и оценивать риски КБ в проектах, выбирать способы их минимизации и митигации
• Приоритизировать и контролировать исправление уязвимостей

Ключевые требования:
• Умение формировать модели угроз и оценивать риски
• Понимание архитектуры современных информационных систем, знание лучших практик в части их защиты
• Знание и опыт работы с технологиями и инструментами безопасности: IDS/IPS, FW, WAF, SIEM, DLP, IDM, AV/EDR, PAM, электронная подпись, шифрование и др.
• Знание требований регуляторов в области ИБ, криптографии, персональных данных
• Понимание процессов Secure Development Lifecycle (SDL)
• Понимание принципа атак на информационные системы с использованием уязвимостей из OWASP TOP 10
• Развитые коммуникативные навыки для взаимодействия с командами

Контакт для связи - @alla_a или AAzarina@alfabank.ru

Вакансия: Стратегический руководитель по информационной безопасности (Senior Information Security Officer)
ЗП: 250.000 - 350.000 рублей

Shield Mate – защита от онлайн-мошенничества и утечек персональных данных для малого и среднего бизнеса. Мы ищем опытного и амбициозного руководителя по кибербезопасности, который возглавит интеграцию наших решений, а также активно подключится к разработке новых продуктов и сервисов Shield Mate.

Ваши задачи:

• Разработка и реализация общей стратегии информационной безопасности компании и клиентов;
• Руководство командой специалистов по безопасности, контроль выполнения задач и помощь в развитии сотрудников;
• Проведение аудитов безопасности у клиентов: анализ инфраструктуры, поиск уязвимостей, оценка рисков;
• Проектирование и внедрение решений по защите информации для МСП;
• Создание и управление системой мониторинга инцидентов безопасности, реагирование на угрозы;
• Консультирование клиентов по вопросам кибербезопасности, проведение тренингов и вебинаров;
• Постоянный мониторинг актуальных угроз и тенденций в области ИБ, внедрение новых подходов и технологий;
• Разработка регламентирующей документации по работе с персональными данными и конфиденциальной информации.

Требования:

• Опыт настройки серверных операционных систем и развертывания приложений (iptables, certbot, ufw, nat, docker, docker-compose, sysctl);
• Опыт работы со сканерами ИБ: nmap, metasploit, nessus, burp suite, acunetix, zap, wireshark или ручного аудита / пентеста;
• Понимание OWASP top 10.

Приветствуется:
• Бакалавриат в Информационных Технологиях, Информационной безопасности или Электронике;
• Понимание шифрования (ассиметричное шифрование с открытым ключом);
• Опыт создания документации по политикам информационной безопасности компании;
• Опыт работы с 152 ФЗ и/или ГосСОПКА;
• Опыт работы с SIEM решениями - ELK / Splunk / Sentinel;
• Понимание принципов создания отказоустойчивой инфраструктуры;
• Коммуникабельность и умение объяснять сложные концепции понятным языком.

Что мы предлагаем:

• Гибкий график работы и удаленный формат;
• Возможность влиять на развитие продуктов, которые помогут сотням компаний;
• Конкурентоспособную оплату и бонусы за результат;
• Свобода действий и профессионального роста;
• Быстрый профессиональный рост вместе с компанией.

Контакт: @polinagri00

Эксперт по ИБ , направление — CloudSec, WorkWave

ЗП: от 300 000 на руки + премии
Уровень: middle/senior
Формат: удаленка или гибрид

Мы в активном поиске эксперта для крупного ритейлера с аккредитацией как IT компания, для защиты облака.

Задачи:

• Проектирование сервисов информационной безопасности для облачной платформы;
• Взаимодействие с коллегами по совершенствованию процессов ИБ (в рамках облака);
• Анализ потенциальных угроз и оценка рисков ИБ;
• Участие в создании и согласовании технической и проектной документации;
• Реализация подходов DevSecOps и принципов Security by Design в процессах разработки и эксплуатации.

Пожелания к кандидатам:

• Глубокое понимание технологий обеспечения информационной безопасности ИТ-инфраструктуры;
• Навыки оценки эффективности средств защиты, проведения аудитов безопасности и разработки требований к ним;
• Опыт аргументированного выбора решений и инструментов для защиты информации;
• Знание международных стандартов в области облачной безопасности: ISO, SOC 2, HIPPA, GDPR, CIS, CSA STAR, NIST 800-53/CSF;
• Базовые знания построения локальных сетей, настройки межсетевых экранов и анализа трафика;
• Практический опыт работы с технологиями SASE, IAM и CASB;
• Навыки работы с инструментами автоматизации и управления конфигурациями: Helm, Ansible, Openshift;
• Опыт настройки инструментов для обеспечения безопасности в облачных средах: AWS, Azure, GCP, OpenStack;
• Понимание принципов виртуализации и контейнеризации;
• Практический опыт работы с OpenStack, Linux, Docker и Kubernetes;
• Готовность изучать новые технологии и процессы;
• Уверенные навыки написания скриптов на Python, bash или других языках программирования.

Условия:

• Возможность работать удалённо или в гибридном формате;
• Пятидневная рабочая неделя с сокращённым рабочим днём по пятницам;
• Компания предоставляет обучение и сертификацию за свой счёт: участие во внешних тренингах, семинарах, отраслевых конференциях, программах развития управленческих навыков, очных мастер-классах, а также доступ к онлайн-образовательным платформам и другим возможностям для профессионального роста;
• Разнообразные компенсации и льготы для сотрудников;
• Расширенный пакет ДМС, включающий стоматологию и покрытие за границей;
• Финансовая поддержка сотрудников в сложных жизненных ситуациях;

Контакты для связи:
@Ivan_IT_HR
@hh_stitch

🍙Работать в Японии в сфере ИБ? Нелегко, но возможно! ч1

Часть 1: Традиции и Инновации, Экспертиза и Бизнес, Зарплаты и Расходы
Часть 2: Язык и Бюрократия, Отношение к иностранцам, Перспектива рынка ИБ, переезд, вакансии

На CodeBlue познакомился с マイク - специалист ИБ в дочерней компании одного из ведущих автопроизводителей. Уже больше 5 лет как マイク перебрался в Японию из РФ и работает там в направлении ИБ. Ниже опишу, какое представление о работе в ИБ в Японии у меня сложилось по итогам разговора с ним. Кстати, マイク, если читаешь - привет!)

Традиции vs Инновации
Компании в Японии можно условно разделить на 2 категории: традиционные японские и инновационные международные.
В Японских компаниях очень сильны местные корпоративные традиции:
- взрослое руководство, большинство в возрасте 50+: чем традиционнее, тем старше
- строгие требования к дресс-коду и распорядку дня
- трудовые отношения с начальством близкие к армейским
Люди в таких компаниях нередко работают всю жизнь, планомерно двигаясь вверх по карьерной лестнице. Нередко приходится работать со старыми технологиями, зато можно не переживать за свою профессиональную пенсию. 

Международные компании, даже с японскими корнями, куда больше похожи на те, к которым привыкло западное общество:
- свободный дресс-код и график
- общение на английском и японском
- проще расти вертикально
- гораздо проще получить оффер не-японцу, некоторые с релокацией

Экспертиза и Бизнес
Как писал в посте выше, за бизнес в стране отвечают местные, а сервисы и экспертиза ИБ экспортируется из других стран. Поэтому экспертные ИБ-комьюнити состоят во многом из приезжих с условного запада, а самих японцев среди них от силы процентов 10 - и вот с ними как раз проще всего заобщаться. Хочешь продавать в этой стране - тебе нужен местный компаньон. Зато как эксперт в нишевых и “disrupting” технологиях (AI и все такое) в Японии вы скорее всего столкнетесь с меньшей конкуренцией на рынке труда.

Зарплаты и Расходы
Если хотите знать, сколько зарабатывают айтишники в Японии - смотрите тут. Можете ориентироваться на медиану в ¥12M/год до налогов с учетом бонусов. На руки это где-то 650-700К в месяц. 

Траты:
- однушка в Токио в пределах 1 часа от центра ¥150-200К/мес + разовые расходы на первоначальный депозит и keymoney и прочее X2-X4, детальнее - тут
- коммуналка - газ свет вода интернет вывоз мусора и обслуживание дома и парковка - ¥10K-30K в месяц, зависит от времени года и котировок на углеводороды
- транспорт до работы - оплачивается работодателем 
- еда - ¥50K-100K на человека, средний ланч ~1500¥

По таким грубым прикидкам с медианной зп после всех обязательных трат у вас останется еще ¥320-380К свободными, около 50%.
Вот тут больше про налоги и инвестиции, а тут грубо можно подсчитать вычеты

P.S.
На фото - старинный банный комплекс Sekizenkan Kashoutei с мостом, очень похожим на мост в банный комплекс из Унесенных Призраками.

Отличная новость для тех, кто хочет:

• поменять направление внутри ИБ
• систематизировать знания по своей теме
• повысить квалификацию


В начале 2025 уже стартуют авторские курсы по ИБ от Inseca:

⚡️ Цифровая криминалистика и реагирование на инциденты: Digital Forensics & Incident Response

⚡️ Управление уязвимостями: Vulnerability management

⚡️ Киберразведка: Threat Intelligence

⚡️ Анализ вредоносного ПО. Базовый курс: Malware analysis

⚡️ Поиск киберугроз: Threat Hunting

⚡️ Мониторинг и реагирование на инциденты: Аналитик SOC



✅ Авторы и эксперты курсов — практики с опытом 5+ лет в ИБ. Среди них — руководители и основатели известных ИБ-компаний

✅ Учим тому, что точно пригодится в работе

✅ Комфортная нагрузка без отрыва от работы

✅ Вечный доступ в чат с экспертами и коллегами 

✅ Можно учиться за счет работодателя



Старт: февраль-март-май


→ Выбирай курс на сайте, смотри программу и записывайся

Только недавно писал, что ключевая задача сообщества сделать более качественным опыт работы.

Общаясь с работодателями, я заметил тенденцию на рынке безопасной разработки.

Appsec/devsecops инженеры с 1 год+ опытом работы и зп меньше 280к, напишите @maximbautin, если все ок, сделаю вам предложение, которое улучшит качество вашего опыта и повысит уровень зп.

Аналитик информационной безопасности.
Название компании: ITKey

ЗП: 300 000 - 350 000
Уровень: middle/senior
Формат: удаленка или гибрид

Задачи:
—Исполнение роли контактного лица и эксперта по вопросам кибербезопасности, при взаимодействии с внутренними и внешними заинтересованными сторонами.
—Мониторинг и анализ применимого законодательства РФ в области ИБ: требования Банка России, РКН, ФСТЭК, ФСБ, МинЦифры и др.
—Формулирование задач, связанных с кибербезопасностью, в продуктовые подразделения.
—Непосредственное участие в приемо-сдаточных испытаниях.
—Консультирование групп разработчиков ПО (команда продукта) по вопросам ИБ в процессе разработки.

Пожелания к кандидатам:
—Высшее образование в области ИБ/IT
—Опыт работы в сфере разработки ПО от 3-х лет и знание и применение принципов безопасной разработки.
—Знание подходов по оценке уязвимостей и анализу рисков.
—Понимание уязвимостей OWASP TOP 10, способов их предотвращения или снижения рисков.
—Знание основ обеспечения безопасности ОС: СУБД, приложений, сетей.
—Понимание стандартов и фреймворков CVE, CWE, CVSS и др.
—Знание законодательства Российской Федерации, нормативных правовых актов, национальных стандартов в области защиты информации, управления рисками информационной безопасности.
—Знание основных стандартов и регламентирующих документов в области ИБ (стандарты ISO/ГОСТ, PCI DSS, приказы ФСТЭК/ФСБ, Банка России, МинЦифры, др.)
—Понимание принципов DevSecOps и AppSec.
—Знание основ программирования, умение читать код, понимание json/xml, умение работать в CLI и базовое знание unix-подобныйх ОС.
—Хорошее знание английского и русского языков, общая грамотность.

Условия:
—График работы 5/2 с возможностью гибридного формата или полного удалённого участия.
—Бессрочный трудовой договор.
—Бонусная система, включая проектные премии.
—ДМС, программы психологической поддержки.
—Компания оплачивает обучение и сертификацию.
—Возможность профессионального и карьерного роста.


Контакты для связи: @a_evseenkova

Сайт компании https://itkey.com
Сайт проекта https://keystack.ru/

Penetration tester

ЗП: 200к на руки + % от стоимости
Уровень: Middle +
Формат: Удаленка

Ⓜ️ Мы — разработчик облачного сканера для поиска уязвимостей "Метаскан". Это сканирующее облако из ~200 серверов, использующих 29 различных инструментов (amass, ZAP, dirsearch, ffuf, wafw00f, hydra, patator, nuclei, etc) для поиска уязвимостей. Мы участвуем в разработке известных инструментов с открытым исходным кодом и публикуем эксплойты и инструменты для поиска уязвимостей. Сейчас мы в поисках сильного пентестера, с опытом работы в вебе и инфраструктуре.

🌐 Основная задача – Как член Offensive команды вы будете проводить проекты по тестированию на проникновение, начиная с этапа разведки и заканчивая пост-эксплуатацией. Вам будут доступны любые инструменты на ваше усмотрение и Метаскан как платформа уже реализующая 29 движков для поиска уязвимостей.

🌀 Нам важно,
Понимание Linux на уровне администратора;
Понимание сетевых технологий: Модель OSI, принципы IP маршрутизации, принцип работы прикладных протоколов (DNS, HTTP и д.р.);
Опыт работы с ZAP или BurpSuite;
Умение самостоятельно писать эксплойты или PoC под известные уязвимости;
Понимание эксплуатации уязвимостей из OWASP TOP 10

💠 Что мы предлагаем:
• Полная удаленка
• Удаленный формат работы
• Фиксированная часть дохода 200к на руки + % от стоимости каждого проекта (4 проекта в месяц)
• Обучение на курсах по Linux | Сетям | ИБ, за счет организации

📩 Контакты: @RasllCramer