Application Security & Quality Specialist

Application Security & Quality Specialist

Hledáme kolegu nebo kolegyni, kteří nám pomohou posunout bezpečnost našich softwarových produktů na další úroveň.

Nejde nám jen o provádění bezpečnostních kontrol. Hledáme člověka, který se bude podílet na nastavení a rozvoji celého procesu bezpečného vývoje, od vhodného zapojení bezpečnostních nástrojů do vývojového procesu přes vyhodnocování zranitelností až po spolupráci s vývojáři na jejich odstranění.

Pokud se orientujete v aplikační bezpečnosti, rozumíte vývojovému prostředí a chcete mít možnost skutečně ovlivnit způsob, jakým bezpečnost při vývoji software řešíme, může být tato role právě pro Vás.

Co budete mít na starosti

Budete se podílet především na:

• nastavení a dalším rozvoji procesů bezpečnostního testování v rámci vývoje software,
• provádění a koordinaci bezpečnostních analýz aplikací a vývojových procesů,
• zavádění a správě nástrojů pro vyhledávání zranitelností v aplikacích a jejich závislostech,
• nastavení a vyhodnocování kontrol SAST, DAST a SCA,
• analýze nalezených zranitelností, jejich prioritizaci a návrhu nápravných opatření,
• spolupráci s vývojáři při odstraňování bezpečnostních problémů,
• nastavení procesu tvorby a správy SBOM (Software Bill of Materials),
• tvorbě základních metodik, standardů a doporučení pro bezpečný vývoj,
• podpoře plnění požadavků Cyber Resilience Act (CRA) a dalších souvisejících bezpečnostních požadavků,
• pravidelném reportingu stavu zranitelností a bezpečnostních kontrol.

Co od Vás očekáváme

Potřebujeme, abyste rozuměli principům Secure SDLC a aplikační bezpečnosti a dokázali je převést do každodenního fungování vývojového týmu.

Měli byste se orientovat zejména v:

• OWASP Top 10 a nejčastějších aplikačních zranitelnostech,
• práci s CVE a CVSS a správě zranitelností,
• analýze bezpečnostních rizik a návrhu vhodných opatření,
• metodikách SAST, DAST a SCA,
• CI/CD procesech,
• Gitu a běžných vývojových workflow,
• integraci bezpečnostních kontrol do vývojového procesu.
• Důležitá je pro nás také schopnost číst zdrojový kód, ideálně v Javě, a schopnost efektivně komunikovat jak s vývojáři, tak s managementem.

S jakými nástroji se můžete setkat

Uvítáme praktickou zkušenost alespoň s některými nástroji, jako jsou:

• Snyk, SonarQube, OWASP ZAP, Trivy, Grype, Dependency-Check, Checkmarx, Veracode, Fortify nebo GitLab Security Scanning.

Nemusíte znát všechny. Podstatnější než konkrétní značka nástroje je pro nás pochopení principů bezpečnostního testování a schopnost vhodně začlenit bezpečnostní nástroje do vývojového procesu.

Co je výhodou

Výhodou bude zkušenost s:

• penetračním testováním a threat modelingem,
• Dockerem nebo Kubernetes,
• tvorbou a správou SBOM,
• dokumenty typu VEX a VDR,
• požadavky Cyber Resilience Act (CRA),
• základní orientací v NIS2 a související bezpečnostní legislativě.

Koho hledáme

Hledáme člověka, který má praktickou zkušenost s testováním software a aplikační bezpečností a chce se podílet nejen na samotných kontrolách, ale také na nastavování procesů a nástrojů bezpečného vývoje.

Oceníme samostatnost, technické uvažování a schopnost hledat řešení společně s vývojovým týmem. Bezpečnost u nás nemá být překážkou vývoje.

Naším cílem je nastavit ji tak, aby byla jeho přirozenou a efektivní součástí.

Co Vám nabídneme

Nabízíme Vám příležitost stát se součástí týmu, který má reálný vliv na bezpečnost našich produktů a vývojových procesů. Dostanete prostor přicházet s vlastními nápady, podílet se na zavádění nových bezpečnostních standardů a dále rozvíjet své odborné znalosti.

Kromě zajímavé práce se můžete těšit na flexibilní pracovní režim s možností kombinace práce z kanceláře a home office, free days, sick days, stravenkový paušál, příspěvek na penzijní připojištění, MultiSport kartu, lekce angličtiny a podporu dalšího vzdělávání. Nechybí ani firemní akce, teambuildingy a přátelská atmosféra, ve které se budete cítit dobře.