Security Engineer

Kitsoft — українська GovTech-компанія, яка допомагає створювати цифрові держави нового покоління. Ми понад 11 років розробляємо та впроваджуємо цифрові сервіси для мільйонів людей, змінюючи те, як громадяни взаємодіють із державою — швидко, зручно та прозоро.

Швидше за все, ти вже знаєш або користуєшся нашими продуктами: послуги на порталах Дія, Київ Цифровий, єПідприємець, цифрові державні сервіси для громад, бізнесу, військових і соціальної сфери. Наші рішення використовують понад 20+ мільйонів українців.

Окремий фокус — Liquio, наша AI-driven low-code платформа для створення та масштабування державних послуг. Саме на Liquio побудовані сотні сервісів в Україні, і сьогодні ми виводимо цю платформу на міжнародні ринки, допомагаючи іншим країнам запускати цифрові сервіси швидко, безпечно та відповідно до міжнародних стандартів.

Ми масштабуємо український досвід цифрової стійкості у світ. У нас складні та амбітні проєкти, сильна команда, культура розвитку й реального впливу.

Ми розширюємо команду кібербезпеки Kitsoft і формуємо напрям Red Team, який відповідатиме за практичну перевірку захищеності програмних продуктів, вебсервісів та інфраструктури.
Шукаємо спеціалістів, які вміють мислити як потенційний зловмисник, досліджувати складні технічні системи та перевіряти, наскільки ефективно реалізовані механізми їхнього захисту.

Що робить наш Penetration Tester / Red Team Specialist:

• Проводити penetration testing програмних продуктів: вебзастосунків, API, мобільних клієнтів та інших компонентів цифрових сервісів.
• Перевіряти захищеність інфраструктури, мережевих сервісів, конфігурацій серверів і хмарних компонентів.
• Розробляти та відтворювати сценарії атак для перевірки стійкості систем до реальних загроз.
• Досліджувати логіку роботи застосунків, механізми автентифікації й авторизації, керування сесіями та розмежування доступу.
• Виконувати ручний аналіз безпеки, перевіряти результати автоматизованого сканування та підтверджувати можливість експлуатації виявлених проблем.
• Готувати технічні звіти за результатами перевірок із доказами, оцінкою ризиків і практичними рекомендаціями щодо виправлення.
• Розробляти скрипти та вдосконалювати інструменти, що автоматизують повторювані завдання під час тестування.
• Відстежувати нові техніки атак, вразливості та експлойти, застосовувати їх для актуалізації методик перевірки.
• Співпрацювати з командами розробки, DevOps та інфраструктури під час аналізу результатів і повторної перевірки виправлень.
• Брати участь у розвитку методології offensive security та процесів перевірки захищеності в компанії.

Які професійні навички і досвід важливі:

• Від 2 років практичного досвіду у penetration testing, application security або суміжному напрямі.
• Розуміння методологій тестування безпеки та вміння самостійно проводити перевірки, а не лише запускати автоматизовані сканери.
• Практичний досвід пошуку й експлуатації вразливостей у вебзастосунках та API, зокрема проблем контролю доступу, ін’єкцій, обходу механізмів захисту й помилок бізнес-логіки.
• Знання підходів OWASP до оцінювання безпеки вебзастосунків та API.
• Досвід роботи з Burp Suite або аналогічними інструментами аналізу HTTP-трафіку та тестування вебзастосунків.
• Навички використання Nmap та інших інструментів дослідження мережевих сервісів і поверхні атаки.
• Володіння Python, Bash або іншою мовою сценаріїв для написання допоміжних інструментів та автоматизації перевірок.
• Розуміння принципів роботи HTTP/HTTPS, TCP/IP, DNS, SQL та механізмів автентифікації й авторизації.
• Здатність аналізувати технічні результати, визначати реальний вплив вразливостей і зрозуміло пояснювати ризики.
• Уміння документувати результати роботи та аргументовано обґрунтовувати рекомендації.

Буде плюсом:

• Досвід тестування мобільних застосунків Android та iOS.
• Практика оцінювання безпеки Docker, Kubernetes, Linux-систем і хмарної інфраструктури.
• Досвід реверс-інжинірингу, аналізу бінарних файлів або fuzz-тестування.
• Знання інструментів Metasploit, Frida, MobSF, Ghidra та засобів автоматизованого сканування.
• Досвід тестування REST API та GraphQL, включно зі складними сценаріями контролю доступу.
• Участь у Bug Bounty, CTF, дослідницьких проєктах або публікація власних технічних досліджень.
• Знайомство з процесами Secure SDLC, DevSecOps та інструментами SAST/DAST/SCA.
• Наявність профільних сертифікацій, наприклад OSCP, PNPT, CRTO або аналогічних.

Як проходить відбір кандидатів:

• Надсилай своє резюме у відповідь на цю вакансію.
• Важливо: ми не надаємо фідбек на етапі розгляду резюме.
• Якщо твоє резюме буде відповідати вимогам, наш рекрутер напише тобі, за потреби уточнить інформацію та запросить на співбесіду.
• Співбесіда проходить в Google Meet та має 2 етапи:

1. Інтерв’ю з рекрутером (60 хв). Перевіряємо наскільки ми з тобою підходимо по цінностях та наявність необхідних компетенцій
2. Технічне інтерв’ю з керівником — Head of Information Security (60 хв). Фокус на навичках, щоб зрозуміти технічний рівень, знання, необхідні hard і soft скіли.

Умови роботи:

• Випробувальний термін — 3 місяці.
• Графік роботи гнучкий та залежить від команди, переважно з 09:30 до 18:30.
• Можна працювати з офісу (коворкінг за адресою м. Київ, вулиця Князів Острозьких, 32/2, м. Арсенальна) або дистанційно. Немає вимог до територіального розміщення кандидата, але перевагою є м.Київ
• Відпустка 24 календарних дні + святкові вихідні дні від компанії (у військовий час визначили 4 святкових вихідні: Великдень, День захисників і захисниць, Різдво, Новий рік)
• 5 лікарняних днів в рік без довідки від лікаря. З довідкою кількість днів необмежена, але звісно ж краще, щоб всі були здорові
• Підтримуємо навчання та підвищення кваліфікації: є план індивідуального розвитку та компенсація 70% вартості зовнішнього навчання.
• Додаткова підтримка: частково компенсуємо витрати на заняття спортом, послуги психолога, а також надаємо матеріальну підтримку і три вихідні у необхідні моменти життя.

Приєднуйся до Kitsoft і створюй соціально-важливі цифрові послуги для урядів разом з нами!

*Подаючи заявку, ви передаєте нам свої персональні дані. Kitsoft обробляє їх, щоб розглянути вашу кандидатуру та зв’язатися з вами щодо вакансії. Доступ до даних мають лише співробітники, залучені до відбору, а для зберігання ми користуємося системою PeopleForce. Ми зберігаємо ваші дані до 12 місяців після завершення відбору, а потім видаляємо. Ви можете в будь-який момент запитати доступ до своїх даних, їх виправлення або видалення, написавши на hr-team@kitsoft.ua.

Відгукнутись на вакансію