Specjalista / Specjalistka ds. Zarządzania Podatnościami

Nasze wymagania

• minimum 5 lat doświadczenia w technicznej roli IT, np. jako administrator systemów, inżynier sieci, inżynier DevOps lub Cloud, deweloper albo architekt,
• co najmniej rok doświadczenia w modelowaniu zagrożeń, przeglądach bezpieczeństwa architektury lub analizie ryzyka,
• praktyczna wiedza w jednym z obszarów: infrastruktura IT, obejmująca systemy, sieci, zarządzanie tożsamością lub rozwiązania chmurowe, albo wytwarzanie oprogramowania, obejmujące architekturę aplikacji, API lub mikroserwisy,
• znajomość drugiego z powyższych obszarów na poziomie umożliwiającym prowadzenie partnerskiej dyskusji technicznej z zespołami,
• umiejętność czytania i interpretowania raportów z testów penetracyjnych oraz skanerów podatności,
• rozumienie typowych klas podatności, w tym OWASP Top 10, oraz sposobów ich wykorzystania,
• znajomość CVSS oraz świadomość ograniczeń tej metody,
• znajomość EPSS, katalogu CISA KEV lub metodyki SSVC,
• doświadczenie w analizie ścieżek ataku lub znajomość metody modelowania zagrożeń, np. STRIDE,
• znajomość MITRE ATT&CK,
• umiejętność wyjaśniania problemów technicznych osobom nietechnicznym,
• samodzielność oraz umiejętność podejmowania decyzji na podstawie niepełnych danych,
• znajomość języka angielskiego na poziomie minimum B2.

Mile widziane

• doświadczenie z Microsoft Azure lub inną chmurą publiczną,
• doświadczenie z narzędziami SAST, DAST i SCA oraz pipeline’ami CI/CD,
• doświadczenie w tworzeniu narzędzi wykorzystujących sztuczną inteligencję,
• znajomość metodyk analizy ryzyka ISO/IEC 27005 lub NIST SP 800-30,
• znajomość wymagań NIS2 oraz ustawy o Krajowym Systemie Cyberbezpieczeństwa,
• certyfikat CISSP, CRISC, CSSLP, CCSP, CEH, CISA, CISM lub certyfikat równoważny.

Twój zakres obowiązków

• Prowadzenie sesji modelowania zagrożeń z zespołami deweloperskimi i infrastrukturalnymi.
• Analizowanie bezpieczeństwa działających systemów oraz nowych rozwiązań na etapie ich projektowania.
• Określanie ścieżek ataku, osiągalności podatności, warunków ich wykorzystania i potencjalnego wpływu na zasoby, z uwzględnieniem istniejących zabezpieczeń.
• Tworzenie i utrzymywanie modeli zagrożeń dla kluczowych systemów i aplikacji, w tym diagramów przepływu danych, granic zaufania, drzew ataku oraz scenariuszy ataku.
• Proponowanie działań mitygujących na poziomie architektury, kodu i infrastruktury.
• Proponowanie zabezpieczeń kompensacyjnych w sytuacjach, w których poprawka nie może zostać wdrożona od razu.
• Ustalanie priorytetów usuwania podatności na podstawie realnego ryzyka.
• Współpraca z zespołami technicznymi oraz właścicielami biznesowymi w procesie zarządzania podatnościami i poprawkami.
• Weryfikacja skuteczności wdrożonych poprawek i zabezpieczeń.
• Przekładanie wyników analiz technicznych na scenariusze ryzyka.
• Prowadzenie jakościowych analiz ryzyka, przygotowywanie rekomendacji oraz dokumentowanie decyzji o akceptacji ryzyka.
• Prowadzenie rejestru ryzyk technicznych oraz przygotowywanie raportów dla kadry zarządzającej i audytorów.
• Rozwijanie metodyki, procedur i narzędzi wykorzystywanych do modelowania zagrożeń w organizacji.

Tak organizujemy naszą pracę

To oferujemy

• Umowę o pracę
• Hybrydowy system pracy (2 dni stacjonarnie/3 dni zdalnie) po wdrożeniu
• Bogaty pakiet medyczny w Luxmed (w tym stomatologię)
• Pakiet Multisport
• Możliwość korzystania z Ośrodka Sportu znajdującego się na terenie Agencji
• Dyżury lekarza w przychodni znajdującej się w naszej siedzibie
• Bezpłatny parking dla pracowników
• Dofinansowanie do wypoczynku
• Dofinansowanie do biletów do kina, teatru i na koncerty dla pracowników oraz członków rodziny
• Dofinansowanie do edukacji dzieci
• Dofinansowanie do kursów i szkoleń
• Dodatkowe ubezpieczenie
• Pracowniczy Program Emerytalny
• Pakiet świadczeń z Zakładowego Funduszu Świadczeń Socjalnych

Takie dajemy możliwości rozwoju

• budżet rozwojowy
• szkolenia wewnątrzfirmowe
• szkolenia zewnętrzne
• wymiana wiedzy technicznej w firmie

Benefity

• dofinansowanie zajęć sportowych
• prywatna opieka medyczna
• dofinansowanie nauki języków
• dofinansowanie szkoleń i kursów
• ubezpieczenie na życie
• możliwość pracy zdalnej
• opieka stomatologiczna
• siłownia w biurze
• firmowa drużyna sportowa
• dyżury lekarza w biurze
• program emerytalny
• fundusz oszczędnościowo-inwestycyjny
• preferencyjne pożyczki
• kawa / herbata
• parking dla pracowników
• dodatkowe świadczenia socjalne
• dofinansowanie usług turystycznych
• dofinansowanie biletów do kina, teatru
• dofinansowanie do prywatnej edukacji dzieci
• dofinansowanie wypoczynku
• dofinansowanie wakacji dzieci
• pikniki rodzinne

Polska Agencja Żeglugi Powietrznej