Solution Architect - Security (m/ž)

O ulozi: Core odjel brine o znanju o Aircash sustavu i o tome da razvojni timovi imaju provjerene komponente, jasne standarde i dobru dokumentaciju. Platform tim unutar Core odjela pojačavamo seniornom osobom koja će biti odgovorna za sigurnost aplikacija u odjelu. Očekujemo da o sigurnosti razmišljaš već od prve verzije specifikacije, a ne tek nakon penetracijskog testa. Čime ćeš se baviti: Arhitektura: - pregledom i odobravanjem tehničkih specifikacija novih funkcionalnosti, u paru s kolegom iz Platform tima – bez odobrenja implementacija ne počinje - definiranjem arhitekture zajedničkih komponenti koje razvija tim za interne sustave - pisanjem dokumentacije za Knowledge Hub, središnje mjesto dokumentacije o našim sustavima i razvojnim standardima - predavanjima na internoj Akademiji Sigurnost: - sigurnosnom analizom specifikacija: dotiče li rješenje novčane tokove, osobne podatke, autentifikaciju ili regulatorne kontrole - analizom ranjivosti pronađenih sigurnosnim testiranjem te određivanjem prioriteta i načina sanacije - vođenjem registra ranjivosti i praćenjem sanacije do zatvaranja - definiranjem pravila sigurnog razvoja na temelju pronađenih ranjivosti i njihovim prenošenjem razvojnim timovima Sigurnosno testiranje i automatizacija: - vođenjem procesa kontinuiranog sigurnosnog testiranja s vanjskim konzultantom: dva sveobuhvatna testiranja godišnje, a između njih izvanredna testiranja i retestovi - definiranjem opsega testiranja, usklađivanjem testnih računa i okruženja s Operations timom, eskalacijom kritičnih ranjivosti i naručivanjem retestova - internom provjerom sanacije prije retesta - automatizacijom testova za sanirane ranjivosti visoke i kritične razine, koji se u CI/CD pipelineu izvode prije i nakon svakog produkcijskog releasea kako se ranjivost ne bi vratila s novim kodom Funkcionalno testiranje nije dio ove uloge.

Što očekujemo: - najmanje 5 godina iskustva u arhitekturi softverskih rješenja ili sigurnosti aplikacija - iskustvo u dizajnu backend sustava i integracija - poznavanje C#/.NET-a (ili spremnost na rad u .NET okruženju) i SQL-a - praktično iskustvo u sigurnosnom testiranju web i mobilnih API-ja (OWASP Top 10, OWASP API Security Top 10, ASVS, MASVS) - samostalnu reprodukciju ranjivosti (Burp Suite ili sličan alat) i procjenu prema CVSS v3.1 - dobro poznavanje autentifikacije i autorizacije (OAuth2/OIDC, JWT, sesije) - razumijevanje propusta poslovne logike u novčanim tokovima: dvostruko izvršenje, race condition, zaobilaženje limita, pristup tuđim podacima (IDOR/BOLA) - iskustvo s automatizacijom sigurnosnih testova i njihovim izvođenjem u CI/CD pipelineu - iskustvo u pisanju i pregledu tehničke dokumentacije te sposobnost jasnog obrazlaganja odluka razvojnim timovima i upravi - samostalnost u vođenju procesa s rokovima i vanjskim suradnikom - spremnost na prijenos znanja kroz interne edukacije - izvrsno poznavanje hrvatskog i engleskog jezika Prednost će imati kandidati s: - iskustvom u fintechu, e-novcu ili platnom prometu (DORA, PSD2, AML) - iskustvom u sigurnosnom testiranju Android i iOS aplikacija - iskustvom u threat modelingu - iskustvom sa SAST, SCA i DAST alatima - iskustvom s Azure DevOpsom - certifikatima poput OSCP, OSWE ili BSCP Ne tražimo nužno nekoga tko je dosad imao titulu arhitekta. Ako si senior backend developer koji se već dulje bavi sigurnošću ili AppSec stručnjak koji se želi više baviti dizajnom sustava, slobodno se prijavi.