Specjalista / Specjalistka ds. Zarządzania Podatnościami

Nasze wymagania:
minimum 5 lat doświadczenia w technicznej roli IT, np. jako administrator systemów, inżynier sieci, inżynier DevOps lub Cloud, deweloper albo architekt,
co najmniej rok doświadczenia w modelowaniu zagrożeń, przeglądach bezpieczeństwa architektury lub analizie ryzyka,
praktyczna wiedza w jednym z obszarów: infrastruktura IT, obejmująca systemy, sieci, zarządzanie tożsamością lub rozwiązania chmurowe, albo wytwarzanie oprogramowania, obejmujące architekturę aplikacji, API lub mikroserwisy,
znajomość drugiego z powyższych obszarów na poziomie umożliwiającym prowadzenie partnerskiej dyskusji technicznej z zespołami,
umiejętność czytania i interpretowania raportów z testów penetracyjnych oraz skanerów podatności,
rozumienie typowych klas podatności, w tym OWASP Top 10, oraz sposobów ich wykorzystania,
znajomość CVSS oraz świadomość ograniczeń tej metody,
znajomość EPSS, katalogu CISA KEV lub metodyki SSVC,
doświadczenie w analizie ścieżek ataku lub znajomość metody modelowania zagrożeń, np. STRIDE,
znajomość MITRE ATT&CK,
umiejętność wyjaśniania problemów technicznych osobom nietechnicznym,
samodzielność oraz umiejętność podejmowania decyzji na podstawie niepełnych danych,
znajomość języka angielskiego na poziomie minimum B2.

Mile widziane:
doświadczenie z Microsoft Azure lub inną chmurą publiczną,
doświadczenie z narzędziami SAST, DAST i SCA oraz pipeline’ami CI/CD,
doświadczenie w tworzeniu narzędzi wykorzystujących sztuczną inteligencję,
znajomość metodyk analizy ryzyka ISO/IEC 27005 lub NIST SP 800-30,
znajomość wymagań NIS2 oraz ustawy o Krajowym Systemie Cyberbezpieczeństwa,
certyfikat CISSP, CRISC, CSSLP, CCSP, CEH, CISA, CISM lub certyfikat równoważny.

Zakres obowiązków:
Prowadzenie sesji modelowania zagrożeń z zespołami deweloperskimi i infrastrukturalnymi.
Analizowanie bezpieczeństwa działających systemów oraz nowych rozwiązań na etapie ich projektowania.
Określanie ścieżek ataku, osiągalności podatności, warunków ich wykorzystania i potencjalnego wpływu na zasoby, z uwzględnieniem istniejących zabezpieczeń.
Tworzenie i utrzymywanie modeli zagrożeń dla kluczowych systemów i aplikacji, w tym diagramów przepływu danych, granic zaufania, drzew ataku oraz scenariuszy ataku.
Proponowanie działań mitygujących na poziomie architektury, kodu i infrastruktury.
Proponowanie zabezpieczeń kompensacyjnych w sytuacjach, w których poprawka nie może zostać wdrożona od razu.
Ustalanie priorytetów usuwania podatności na podstawie realnego ryzyka.
Współpraca z zespołami technicznymi oraz właścicielami biznesowymi w procesie zarządzania podatnościami i poprawkami.
Weryfikacja skuteczności wdrożonych poprawek i zabezpieczeń.
Przekładanie wyników analiz technicznych na scenariusze ryzyka.
Prowadzenie jakościowych analiz ryzyka, przygotowywanie rekomendacji oraz dokumentowanie decyzji o akceptacji ryzyka.
Prowadzenie rejestru ryzyk technicznych oraz przygotowywanie raportów dla kadry zarządzającej i audytorów.
Rozwijanie metodyki, procedur i narzędzi wykorzystywanych do modelowania zagrożeń w organizacji.

Oferujemy:
Umowę o pracę
Hybrydowy system pracy (2 dni stacjonarnie/3 dni zdalnie) po wdrożeniu
Bogaty pakiet medyczny w Luxmed (w tym stomatologię)
Pakiet Multisport
Możliwość korzystania z Ośrodka Sportu znajdującego się na terenie Agencji
Dyżury lekarza w przychodni znajdującej się w naszej siedzibie
Bezpłatny parking dla pracowników
Dofinansowanie do wypoczynku
Dofinansowanie do biletów do kina, teatru i na koncerty dla pracowników oraz członków rodziny
Dofinansowanie do edukacji dzieci
Dofinansowanie do kursów i szkoleń
Dodatkowe ubezpieczenie
Pracowniczy Program Emerytalny
Pakiet świadczeń z Zakładowego Funduszu Świadczeń Socjalnych