UPSTARS — продуктова IT-компанія, з якою злітають і люди, і бренди. Наш основний фокус — технологічні рішення та B2B-послуги для міжнародних клієнтів. Запускаємо зіркові проєкти у сфері iGaming, які отримують визнання та найвищі оцінки профільних рейтингів ✨
І так, підтримувати легальний та прозорий ринок України — це маст хев, тому третіми в країні отримали B2B-ліцензію на надання послуг у сфері азартних ігор.
У 2026 ми активно масштабуємо і проєкти, і дрім тім. Тому для підсилення Security команди шукаємо Senior DevSecOps Engineer.
✅ Твої майбутні задачі:
побудувати базову операційну модель Application & Infrastructure Security: визначити ownership, SLA, процеси тріажу, винятків, прийняття ризиків, ескалацій і звітності;
впровадити процес vulnerability management: виявлення вразливостей, пріоритизація, визначення відповідальних, контроль строків виправлення, управління винятками, remediation та метриками;
інтегрувати security controls у SDLC та CI / CD: SAST, SCA, SBOM, secret scanning, container / image scanning, перевірки Dockerfile та поетапні quality gates у пайплайнах;
побудувати базовий рівень supply chain security: контроль залежностей, lock-файли, підписування артефактів, захист CI / CD, protected branches та інші механізми безпеки;
впровадити cloud та infrastructure security baseline через IaC: IAM Policies, KMS, CloudTrail, GuardDuty, Security Hub, IaC scanning та інші інструменти контролю безпеки;
впровадити Kubernetes security controls: Pod Security Standards та / або Kyverno, Network Policies, RBAC review, admission control для контейнерних образів, audit logs і підходи до runtime security;
співпрацювати з engineering та platform-командами над усуненням знахідок, зменшенням кількості false positives, покращенням secure coding practices, підготовкою політик, інструкцій та audit evidence для PCI DSS та інших аудитів.
💪 Твої скіли:
5+ років практичного досвіду в DevSecOps / Application Security;
практичний production-досвід інтеграції security tools у CI / CD, зокрема GitLab CI та / або GitHub Actions;
досвід роботи з SAST, SCA, secret scanning, container / image scanning та security quality gates, використання інструментів рівня Semgrep, SonarQube, Trivy, Snyk, Grype, Gitleaks або аналогів;
розуміння безпеки CI / CD: protected branches, protected environments, secrets management, CODEOWNERS, принципів мінімізації прав для runners і service accounts;
досвід побудови процесів vulnerability management: тріаж, пріоритизація, SLA, винятки, прийняття ризику, визначення відповідальних, звітність і зниження кількості false positives;
розуміння supply chain security: SBOM, dependency pinning, lock-файли, artifact signing, provenance, ризики залежностей і складу програмного забезпечення;
production-досвід у cloud security (переважно AWS): IAM Policies, Security Groups, KMS, CloudTrail, GuardDuty, Security Hub, Config Rules, VPC Design;
досвід роботи з Kubernetes Security: Pod Security Standards, Network Policies, RBAC, admission control, image policy, audit logs;
досвід роботи з IaC Security (переважно Terraform): tfsec, Checkov, policy-as-code або аналогічні рішення;
впевнене написання автоматизації на Python, Bash або Go: власні етапи пайплайнів, автоматизація тріажу, API-інтеграції, звітність;
розуміння OWASP Top 10, типових web-вразливостей, принципів безпечної розробки та практичних підходів до їх усунення;
здатність працювати самостійно, пріоритизувати задачі, досягати результатів з мінімальним контролем та ефективно взаємодіяти з engineering, platform і business-командами.
🤞 Бажано, але не критично:
досвід роботи в gambling, fintech або інших регульованих індустріях;
практичний досвід роботи з PCI DSS, зокрема Requirement 6 та Requirement 11;
досвід роботи з runtime security-рішеннями, такими як Falco, Tetragon або аналогами;
досвід підписування контейнерних образів за допомогою Cosign / Sigstore або аналогічних інструментів;
досвід роботи з DAST-рішеннями (OWASP ZAP, Nuclei тощо) та їх
