Руководитель команды BugBounty в Информационная безопасность, Москва

У нас работает одна из самых крупных среди российских компаний программа BugBounty. Мы активно сотрудничаем с багхантерами со всего мира: они находят уязвимости в наших продуктах, помогают проверять их и подтверждать реальные риски.

Команда развивает направление Bug Bounty не только как процесс поиска уязвимостей, но и как полноценную экспертную функцию внутри компании. Мы много взаимодействуем с исследовательским сообществом, развиваем профессиональные связи и регулярно организуем профильные конференции, митапы и другие мероприятия для багхантеров.

У нас можно влиять на развитие одного из самых масштабных направлений Bug Bounty на российском рынке, работать со сложными техническими кейсами и развивать экспертность вместе с сильным профессиональным сообществом.

Задачи

• Руководить командой: определять технические подходы, приоритеты и стандарты работы
  
• Развивать направления Bug Bounty: совершенствовать методологию, процессы и инструменты, повышать эффективность программы и качество выявления уязвимостей
  
• Работать со сложными уязвимостями: самостоятельно проводить триаж наиболее значимых находок и участвовать в техническом разборе сложных уязвимостей
  
• Представление технической экспертности направления: формировать и транслировать экспертную позицию команды внутри компании и в профессиональном сообществе
  

Требования

• Практический опыт триажа и валидации уязвимостей, включая сложные и спорные технические кейсы
  
• Хорошее понимание основных классов уязвимостей веб-приложений и API: OWASP Top 10, IDOR/BOLA, SSRF, XSS, SQL Injection, RCE, уязвимости аутентификации и авторизации, бизнес-логики и так далее
  
• Умение оценивать критичность и реальный риск уязвимостей с учётом сценариев эксплуатации, влияния на пользователей, данные и бизнес-процессы
  
• Опыт взаимодействия с командами разработки: постановка задач на исправление, подготовка рекомендаций, обсуждение вариантов remediation и проверка корректности исправлений
  
• Понимание процессов Secure SDLC, управления уязвимостями и роли Bug Bounty в продуктовой безопасности
  
• Опыт работы с SLA, метриками и процессами vulnerability management: контроль сроков исправления, анализ задержек и узких мест
  
• Опыт запуска, ведения или развития программ Bug Bounty: определение scope, правил программы, критериев приёма отчётов и подходов к выплатам
  
• Умение выстраивать конструктивную коммуникацию с внешними исследователями безопасности и разрешать спорные ситуации по отчётам
  
• Опыт управления командой или технического лидерства: распределение задач, развитие сотрудников, ревью сложных кейсов
  
• Навыки анализа данных и подготовки отчётности по ключевым показателям направления
  
• Хорошие коммуникативные навыки и способность объяснять технические риски как инженерам, так и нетехническим заинтересованным сторонам
  
• Опыт проведения пентестов веб-приложений, API или мобильных приложений
  
• Опыт автоматизации процессов с помощью Python, PowerShell, REST API или других инструментов
  
• Опыт работы с платформами Bug Bounty и понимание их операционных и финансовых процессов
  

Будет плюсом

• Личный опыт участия в Bug Bounty
  
• Опыт работы с бюджетами, договорами, закупками или взаимодействия с внешними подрядчиками и платформами
  
• Опыт публичных выступлений
  
• Опыт взаимодействия с маркетингом и PR