Senior Application Security Engineer (all genders)

О позиции

Distribusion — ведущая мировая платформа наземных перевозок, объединяющая операторов автобусов, поездов и паромов в 70+ странах с крупными онлайн-ритейлерами. Компания находится на стадии активного роста после $80M финансирования Series C. Мы ищем первого специалиста по безопасности приложений, чтобы сформировать полноценную AppSec-практику и обеспечить безопасность наших публичных API, платежных потоков и инфраструктуры.

Чем заниматься

• Проводить threat modeling и reviews безопасного дизайна для высоко рискованных изменений и интеграций партнеров
• Настраивать и внедрять security gates в GitLab CI/CD (SAST, SCA, secrets scanning, DAST), минимизируя трение для разработчиков
• Быть техническим владельцем triage, воспроизведения и приоритизации находок из bug bounties, партнерских pentests и автоматических сканеров
• Работать hands-on с DevOps командой по реализации GCP организационных политик, IAM архитектур с принципом наименьших привилегий и Cloud Armor
• Создавать security-champions network внутри инженерных squad'ов и масштабировать code reviews через автоматизацию и AI-assisted инструменты

Что ждут

• 5+ лет опыта в AppSec или 3+ года с сильной бэкграундом software engineering/web-pentesting
• Умение читать и писать production code (Python, Go, TypeScript, Ruby) и глубоко понимать web frameworks, CI/CD, Kubernetes
• Глубокие знания web и API безопасности: модели аутентификации/авторизации (OAuth2, JWT), rate limiting, tenant isolation, IDOR, XSS
• Сильные основы cloud security (GCP preferred) включая public exposure, secrets hygiene, WAF правила
• Способность приоритезировать по реальному риску, предлагать trade-offs вместо требования перфекционизма, объяснять сложные риски просто

Будет плюсом

• Опыт защиты high-volume multi-tenant B2B APIs
• Использование AI tooling для ускорения triage и reviews

Условия

• Участие в строительстве AppSec практики с нуля — реальная ответственность и влияние
• Работа в fast-paced travel tech компании с flat organizational structure
• Remote-first культура с офисом в Берлине и международными возможностями
• Конкурентная зарплата
• Международная команда талантливых и мотивированных коллег
• Flexibile work policy с опцией удалённой работы

Навыки

• Application Security
• AppSec
• Threat Modeling
• GitLab CI/CD
• SAST
• SCA
• DAST
• Secrets Management
• Bug Bounty
• Penetration Testing
• GCP
• Google Cloud Platform
• IAM
• Cloud Security
• WAF
• Kubernetes
• Python
• Go
• TypeScript
• Ruby
• API Security
• OAuth2
• JWT
• IDOR
• XSS
• Rate Limiting
• Tenant Isolation
• DevOps
• Security Automation

Могут спросить на собеседовании

1. Расскажите о случае, когда вы внедрили security gate в CI/CD без серьёзного снижения скорости разработки.
2. Какие подходы вы используете для triage bug bounty findings? Как расставляете приоритеты?
3. Опишите архитектуру IAM в GCP с принципом наименьших привилегий. С какими сложностями сталкивались?
4. Как бы вы строили threat model для новой функции оплаты? Какие угрозы наиболее критичны?
5. Приведите пример, как вы объяснили сложный риск команде разработчиков или лидеру. Какой подход был эффективным?