Specjalista / Specjalistka ds. DevSecOps

It Connect; United States; Hybrid; USD 120,000 - 180,000; Full time

Job summary

It Connect poszukuje specjalisty ds. bezpieczeństwa CI/CD, który będzie rozwijać i utrzymywać bezpieczny proces wytwarzania aplikacji wspierających porty i logistykę.

Zakres obejmuje integrację bezpieczeństwa z CI/CD, automatyzację skanowania kodu, zależności, obrazów kontenerowych, sekretów i konfiguracji infrastruktury. Wymagania obejmują doświadczenie z GitLab CI/CD, GitHub Actions, Jenkins lub podobnym, znajomość Linuxa i Dockera, umiejętność pisania skryptów (Python/Bash/PowerShell) oraz

Qualifications

• Praktyczne doświadczenie z CI/CD (GitLab CI/CD, GitHub Actions, Jenkins, Azure DevOps lub podobne).
• Doświadczenie w jednym obszarze bezpieczeństwa procesu wytwarzania (SAST, DAST, SCA, skanowanie kontenerów, analiza IaC).
• Znajomość Git.
• Podstawy Linuxa i Dockera.
• Umiejętność napisania skryptu lub automatyzacji (Python/Bash/PowerShell).
• Podstawowe rozumienie podatności aplikacyjnych i ich usuwania.
• Umiejętność analizy wyników narzędzi bezpieczeństwa i unikania nadmiernej wagi severity.
• Gotowość do dokumentowania zmian i decyzji.
• Umiejętność współpracy z developerami, administratorami i zespołem bezpieczeństwa

Responsibilities

• rozwijanie zabezpieczeń w pipeline’ach CI/CD,
• wdrażanie i konfiguracja skanowania kodu, zależności, obrazów kontenerowych, sekretów i konfiguracji infrastruktury
• analiza wyników skanowania, weryfikacja false positive oraz priorytety napraw
• automatyzacja kontroli bezpieczeństwa
• współpraca z developerami i DevOps przy usuwaniu podatności i poprawie konfiguracji
• rozwijanie zasad zarządzania sekretami i dostępem do środowisk
• tworzenie praktycznych standardów bezpiecznego budowania i wdrażania aplikacji
• wspieranie monitorowania aplikacji, pipeline’ów i infrastruktury
• ocena zmian technicznych pod kątem bezpieczeństwa
• udział w analizie incydentów związanych z aplikacjami i procesem wdrażania
• dokumentowanie istotnych zmian, wyjątków, ryzyk i decyzji technicznych
• współpraca z zespołem bezpieczeństwa, developerami i inżynierem DevOps
• wspieranie bezpieczeństwa aplikacji, procesów CI/CD oraz środowisk
• przygotowywanie dokumentacji wykorzystywanej na potrzeby ISO/IEC 27001, KSC, NIS2 i audytów

Skills

CI/CD security

SAST/DAST/SCA

Docker

Git

Scripting (Python/Bash/PowerShell)

GitLab CI/CD

GitHub Actions

Jenkins

Terraform

Tools

GitLab CI/CD

GitHub Actions

Jenkins

Terraform

Job description

Projekt obejmuje rozwój i utrzymanie bezpiecznego procesu wytwarzania, wdrażania i utrzymania aplikacji wspierających procesy portowe i logistyczne. Zakres koncentruje się na integracji bezpieczeństwa z procesami CI/CD, automatyzacji kontroli bezpieczeństwa, analizie podatności oraz współpracy zespołów Security, Development i DevOps.

Twój zakres obowiązków:

• rozwijanie zabezpieczeń w pipeline’ach CI/CD,
• wdrażanie i konfiguracja skanowania kodu, zależności, obrazów kontenerowych, sekretów i konfiguracji infrastruktury,
• analiza wyników skanowania, weryfikacja false positive oraz ustalanie priorytetów napraw,
• automatyzacja kontroli bezpieczeństwa,
• współpraca z developerami i DevOps przy usuwaniu podatności i poprawie konfiguracji,
• rozwijanie zasad zarządzania sekretami i dostępem do środowisk,
• tworzenie praktycznych standardów bezpiecznego budowania i wdrażania aplikacji,
• wspieranie monitorowania aplikacji, pipeline’ów i infrastruktury,
• ocena zmian technicznych pod kątem bezpieczeństwa,
• udział w analizie incydentów związanych z aplikacjami i procesem wdrażania,
• dokumentowanie istotnych zmian, wyjątków, ryzyk i decyzji technicznych,
• współpraca z zespołem bezpieczeństwa, developerami i inżynierem DevOps,
• wspieranie bezpieczeństwa aplikacji, procesów CI/CD oraz środowisk, na których działają systemy,
• przygotowywanie dokumentacji wykorzystywanej na potrzeby ISO/IEC 27001, KSC, NIS2 i audytów.

Nasze wymagania:

• praktyczne doświadczenie z CI/CD, np. GitLab CI/CD, GitHub Actions, Jenkins, Azure DevOps lub podobnym rozwiązaniem,
• doświadczenie z przynajmniej jednym obszarem bezpieczeństwa procesu wytwarzania, np. SAST, DAST, SCA, skanowaniem kontenerów, wykrywaniem sekretów lub analizą IaC,
• znajomość Git,
• praktyczne podstawy Linuxa i Dockera,
• umiejętność napisania skryptu lub niewielkiej automatyzacji, np. w Pythonie, Bashu lub PowerShellu,
• podstawowe rozumienie podatności aplikacyjnych i sposobów ich usuwania,
• umiejętność analizy wyników narzędzi bezpieczeństwa zamiast bezkrytycznego opierania się na severity,
• gotowość do dokumentowania zmian i decyzji,
• umiejętność współpracy z developerami, administratorami i zespołem bezpieczeństwa

• praktyczne doświadczenie z CI/CD, np. GitLab CI/CD, GitHub Actions, Jenkins, Azure DevOps lub podobnym rozwiązaniem,
• doświadczenie z przynajmniej jednym obszarem bezpieczeństwa procesu wytwarzania, np. SAST, DAST, SCA, skanowaniem kontenerów, wykrywaniem sekretów lub analizą IaC,
• znajomość Git,
• praktyczne podstawy Linuxa i Dockera,
• umiejętność napisania skryptu lub niewielkiej automatyzacji, np. w Pythonie, Bashu lub PowerShellu,
• podstawowe rozumienie podatności aplikacyjnych i sposobów ich usuwania,
• umiejętność analizy wyników narzędzi bezpieczeństwa zamiast bezkrytycznego opierania się na severity,
• gotowość do dokumentowania zmian i decyzji,
• umiejętność współpracy z developerami, administratorami i zespołem bezpieczeństwa

Dodatkowym atutem będzie doświadczenie w jednym lub kilku z poniższych obszarów:

• integracja narzędzi bezpieczeństwa z pipeline’ami CI/CD,
• konfiguracja i utrzymanie SAST, SCA, DAST lub skanowania obrazów kontenerowych,
• wdrażanie mechanizmów wykrywania sekretów i kontroli ich użycia w repozytoriach oraz pipeline’ach,
• praca z Infrastructure as Code i jego walidacją bezpieczeństwa, np. Terraform, Ansible,
• bezpieczeństwo kontenerów i środowisk Kubernetes,
• zarządzanie artefaktami, obrazami kontenerowymi i rejestrami,
• GitOps i automatyzacja procesu wdrażania,
• budowanie security gates i zasad blokowania lub warunkowego dopuszczania wdrożeń,
• zarządzanie wyjątkami od kontroli bezpieczeństwa i ich dokumentowanie,
• automatyzacja działań bezpieczeństwa w Pythonie, Bashu lub PowerShellu,
• SBOM, bezpieczeństwo zależności i software supply chain,
• podpisywanie artefaktów, weryfikacja ich integralności i kontrola pochodzenia komponentów,
• zarządzanie sekretami z wykorzystaniem dedykowanych narzędzi,
• integracja wyników skanowania z systemami ticketowymi lub procesem zarządzania podatnościami,
• podstawowa znajomość bezpieczeństwa środowisk chmurowych,
• znajomość OWASP Top 10, OWASP ASVS lub praktyk secure SDLC.

• Możliwość rozwoju zawodowego.
• Stabilne zatrudnienie w Spółce o ugruntowanej pozycji rynkowej.
• Pracę nad rozwiązaniami o znaczeniu strategicznym dla polskiej gospodarki morskiej.
• Pracę w bardzo innowacyjnym środowisku morskim.
• Możliwość współpracy wtrybie hybrydowym lub zdalnym.