Application Security Engineer (SAST / DAST / SCA + Pentest) - Mid
⚲ Warszawa
16 000 - 22 000 PLN netto (B2B)
Wymagania
- doświadczenie w ocenie bezpieczeństwa aplikacji (web, API, kontenery) — triage, analiza dokumentacji, raport
- praktyczna obsługa SAST (Fortify SSC / ScanCentral) i SCA (Black Duck, Sonatype)
- konfiguracja i wykonywanie uwierzytelnionego DAST (Burp Suite Professional, OpenText DAST / WebInspect) oraz skanów API
- umiejętność dyspozycjonowania wyników: potwierdzanie/odrzucanie trafień, false positives, severity, CWE
- praca w pipeline'ach Azure DevOps klienta oraz ręczna publikacja wyników, gdy pipeline nie działa
- onboarding aplikacji do platformy ASPM (CodeDX / Software Risk Manager)
- angielski umożliwiający swobodną rozmowę z klientem korporacyjnym i pisanie raportów po angielsku
- gotowość do pracy w reżimie dostępowym klienta (VDI, PAM, brak własnych narzędzi bez zgody)
Opis stanowiska
Dołączysz do ok. 15-osobowego zespołu prowadzącego wieloletni program DevSecOps i Application Security dla dużej grupy energetycznej z Bliskiego Wschodu (kilkanaście spółek, ponad tysiąc aplikacji — systemy przetargowe, płatnicze, portale, aplikacje mobilne, komponenty AI). Twoim realnym produktem jest opinia bezpieczeństwa oparta na dowodach, która otwiera lub blokuje go-live — pracujesz w trybie ciągłego strumienia zgłoszeń z ServiceNow, a nie w modelu „jeden pentest na kwartał”. Równolegle współtworzysz warstwę AI wspierającą proces (pre-triage przez LLM, orkiestracja skanów, agenci do analizy kodu). To rola dla kogoś, kto lubi triage, raportowanie i pracę w reżimie SLA oraz dostępowym klienta (VDI, PAM) — nie dla osoby nastawionej wyłącznie na eksploitację. Szczera uwaga: oferta wprost zapowiada pracę w kilkunastu równoległych wątkach z SLA liczoną w godzinach roboczych — to realne ryzyko przeciążenia i utrudnionego głębszego skupienia na jednym zadaniu.
🔍 Dekoder Ogłoszenia
🟡
kilkanaście spółek, ponad tysiąc aplikacji
Sygnał dużej skali i potencjalnie wysokiego obciążenia pracą oraz wielu kontekstów do ogarnięcia.
🔴
SLA liczonym w godzinach roboczych
Terminy reakcji liczone w godzinach mogą oznaczać presję czasową i konieczność szybkiego przełączania między zadaniami.
🔴
ciągły strumień kilkunastu równoległych zgłoszeń
Wprost zapowiedziana praca w wielu równoległych wątkach — ryzyko przeciążenia i trudności z głębszym skupieniem na jednym zadaniu.
🟡
Pracujemy zdalnie z Polski, razem z lokalnym partnerem
Praca zdalna w rozproszonym, międzynarodowym zespole — możliwe różnice stref czasowych i komunikacja asynchroniczna.
🟢
Naszym produktem jest opinia bezpieczeństwa oparta na dowodach
Konkretne, merytoryczne określenie zakresu odpowiedzialności — dobrze zdefiniowana rola.