Tester / Testerka Bezpieczeństwa IT (Web & Infrastructure Security)

Nasze wymagania

• Minimum 2–3 lata praktycznego doświadczenia w testach bezpieczeństwa aplikacji webowych, infrastruktury IT lub w obszarze Application Security / DevSecOps.
• Praktyczne doświadczenie w prowadzeniu testów bezpieczeństwa z wykorzystaniem metod SAST, SCA i DAST, obejmujące konfigurację narzędzi, interpretację wyników oraz analizę wykrytych podatności.
• Znajomość narzędzi testujących bezpieczeństwo aplikacji, np. Burp Suite, OWASP ZAP, Semgrep, SonarQube lub rozwiązań o podobnych możliwościach.
• Znajomość narzędzi do analizy bezpieczeństwa zależności i komponentów, np. Trivy, Snyk, Dependency-Track lub ich odpowiedników.
• Umiejętność wykonywania testów infrastruktury z wykorzystaniem narzędzi takich jak Nmap, Nessus, OpenVAS/Greenbone lub rozwiązań równoważnych.
• Znajomość najczęstszych podatności aplikacji webowych i API, w szczególności opisanych w OWASP Top 10 oraz OWASP API Security Top 10.
• Dobra znajomość zagadnień związanych z bezpieczeństwem protokołów HTTP/HTTPS, mechanizmów uwierzytelniania, autoryzacji, zarządzania sesją oraz komunikacji API.
• Znajomość podstaw bezpieczeństwa systemów Linux i Windows, usług sieciowych oraz zagadnień związanych z konfiguracją i utwardzaniem systemów (hardening).
• Umiejętność tworzenia skryptów automatyzujących pracę, np. w Pythonie lub Bashu.
• Praktyczna znajomość systemu Git oraz podstaw działania potoków CI/CD (np. GitLab CI/CD, Jenkins lub GitHub Actions).
• Umiejętność analizowania wyników testów, oceny ryzyka i przygotowywania czytelnych rekomendacji technicznych.
• Samodzielność, analityczne podejście do rozwiązywania problemów oraz umiejętność współpracy z zespołami programistycznymi i infrastrukturalnymi.

Mile widziane

• Doświadczenie w realizacji manualnych testów penetracyjnych aplikacji webowych, API lub infrastruktury.
• Znajomość metodologii OWASP Web Security Testing Guide (WSTG), OWASP ASVS, PTES.
• Doświadczenie w integracji i utrzymywaniu narzędzi bezpieczeństwa w procesach DevSecOps.
• Znajomość zagadnień bezpieczeństwa kontenerów Docker, Kubernetes oraz skanowania obrazów kontenerowych.
• Doświadczenie w analizie podatności infrastruktury chmurowej lub środowisk zwirtualizowanych.
• Znajomość standardów i dobrych praktyk bezpieczeństwa, np. CIS Benchmarks, NIST, ISO/IEC 27001.
• Doświadczenie w pracy z systemami zarządzania podatnościami, obsłudze wyjątków bezpieczeństwa oraz śledzeniu procesu usuwania podatności.
• Znajomość zagadnień związanych z bezpieczeństwem łańcucha dostaw oprogramowania (Software Supply Chain Security), SBOM oraz zarządzaniem zależnościami.
• Certyfikaty branżowe, np. eWPT, OSCP, BSCP, CompTIA Security+, lub inne potwierdzające kompetencje z zakresu bezpieczeństwa aplikacji i infrastruktury.

Twój zakres obowiązków

• Przeprowadzanie testów bezpieczeństwa aplikacji webowych, interfejsów API oraz infrastruktury serwerowej i sieciowej.
• Realizacja automatycznych i manualnych testów bezpieczeństwa, w tym:
• SAST (Static Application Security Testing)
• SCA (Software Composition Analysis)
• DAST (Dynamic Application Security Testing)
• Wykonywanie skanowania podatności systemów operacyjnych, usług sieciowych oraz komponentów infrastruktury IT.
• Weryfikacja wyników skanowania, identyfikowanie fałszywych alarmów (false positives) i potwierdzanie rzeczywistych podatności.
• Przeprowadzanie manualnych testów uzupełniających, w szczególności w obszarze uwierzytelniania, autoryzacji, kontroli dostępu i bezpieczeństwa API.
• Analizowanie wykrytych podatności, ocena ich krytyczności oraz priorytetyzacja działań naprawczych z uwzględnieniem CVSS, podatności na wykorzystanie i kontekstu biznesowego.
• Przygotowywanie raportów technicznych z testów bezpieczeństwa, dokumentowanie podatności oraz opracowywanie rekomendacji naprawczych.
• Konsultowanie z zespołami developerskimi i administratorami sposobów eliminowania podatności, w tym aktualizacji komponentów, zmian konfiguracyjnych oraz poprawek w kodzie.
• Weryfikowanie skuteczności wdrożonych poprawek poprzez ponowne testy bezpieczeństwa (retesty).
• Automatyzacja powtarzalnych czynności związanych ze skanowaniem, analizą wyników i raportowaniem podatności.
• Integracja i rozwój mechanizmów testów bezpieczeństwa w procesach CI/CD, zgodnie z podejściem DevSecOps.
• Współpraca z działem bezpieczeństwa IT przy identyfikacji ryzyk, zarządzaniu podatnościami oraz doskonaleniu standardów bezpieczeństwa.
• Wspieranie zespołów projektowych w stosowaniu dobrych praktyk bezpiecznego tworzenia i utrzymywania oprogramowania.
• Udział w doskonaleniu procesu zarządzania podatnościami i monitorowaniu postępów ich usuwania.

O projekcie

To oferujemy

• Pracę przy projektach, w których bezpieczeństwo aplikacji i infrastruktury ma realne znaczenie.
• Możliwość rozwijania procesów testowania bezpieczeństwa i automatyzacji w organizacji.
• Współpracę z zespołami programistycznymi, DevOps, administratorami oraz specjalistami bezpieczeństwa IT.
• Możliwość wdrażania własnych pomysłów i usprawnień w obszarze DevSecOps.
• Elastyczne godziny pracy i możliwość pracy hybrydowej.
• Możliwość wyboru formy współpracy – umowa o pracę lub B2B.
• Dostęp do szkoleń wewnętrznych i zewnętrznych oraz możliwości rozwoju zawodowego.
• Platformę benefitową, prywatną opiekę medyczną oraz pozostałe benefity oferowane przez SOFTIQ.

Takie dajemy możliwości rozwoju

• wymiana wiedzy technicznej w firmie

Benefity

• prywatna opieka medyczna
• dofinansowanie szkoleń i kursów
• możliwość pracy zdalnej
• elastyczny czas pracy
• spotkania integracyjne
• firmowa drużyna sportowa
• firmowa biblioteka
• brak dress code’u
• gry wideo w pracy
• kawa / herbata
• parking dla pracowników
• strefa relaksu
• paczki świąteczne
• inicjatywy dobroczynne
• pikniki rodzinne
• grill
• konferencje krajowe
• konferencje zagraniczne

Etapy rekrutacji

• 1.
  Rozmowa z osobą z działu HR
• 2.
  Rozmowa techniczna
• 3.
  Rozmowa z Dyrektorem Działu

SOFTIQ sp. z o.o.