Фахівець із розкриття вразливостей інформаційних систем

Огляд

Вакансія передбачає службу у сфері обслуговування ІТ-інфраструктур та надання консультативних послуг щодо роботи в системах та програмних комплексах, які використовуються в Міноборони України. Команда шукає досвідченого фахівця із розкриття вразливостей інформаційних систем (Vulnerability Disclosure Officer) який відповідатиме за прийом, обробку та координацію розкриття вразливостей, знайдених зовнішніми дослідниками, партнерами або користувачами. Це не техпідтримка, не пентестер, не SOC-аналітик, не PR-менеджер, не юрист (але тісно працюєш із ними). Це роль про координацію, відповідальність, керування процесом disclosure, ризиками та репутацією!

Обов'язки

• прийом повідомлень про вразливості (офіційна контактна особа)
• підтримка та розвиток Vulnerability Disclosure Program (VDP)
• прийом security reports (email, form, bug bounty, CERT, third parties)
• створення triage: валідність, критичність (CVSS), вплив на бізнес
• координування взаємодії між дослідниками, розробкою, AppSec / SecOps, Legal / Comms (за потреби)
• супроводження вразливості від першого репорту до патчу
• контроль термінів remediation та disclosure
• підготовка advisory / security notice / CVE input
• облік вразливостей та аналітика по них
• формування культури відповідального розкриття, а не «замовчування»

Вимоги

• розуміння типових класів вразливостей (OWASP, CWE), принципів responsible / coordinated disclosure
• досвід роботи з інцидентами або security-репортами
• вміння швидко оцінювати ризик, не панікуючи
• сильні комунікаційні навички (технічні + нетехнічні)
• уміння тримати процес під контролем
• досвід роботи з Bug Bounty платформами (HackerOne, Bugcrowd), CVE / CNA процесами буде перевагою
• знання стандартів ISO/IEC 29147, ISO/IEC 30111 буде перевагою
• досвід у regulated середовищах (gov, finance, defense) буде перевагою
• базове розуміння secure development lifecycle буде перевагою
• досвід написання security advisories буде перевагою

Умови

• служба для офіцерів запасу за контрактом
• можливість служби для кандидатів, які за висновком ВЛК придатні до служби у військових частинах забезпечення, ТЦК та СП, ВВНЗ, навчальних центрах тощо
• можливість переведення чинних військовослужбовців за згодою безпосереднього командира
• всі види військового забезпечення
• офіс в центрі міста Київ
• службове житло не надається