Специалист по информационной безопасности / эксперт по требованиям ФСТЭК и безопасной разработке ПО

Мы компания « Интегрикс » — разработчик программного обеспечения, на рынке ИТ с 2007 года . Уже 18 лет мы делаем инфраструктурные проекты для регионов и федеральных органов власти, помогая развитию ИТ в России. У нас ценят доверие, взаимовыручку и вовлечённость. Мы любим работать и отдыхать вместе: от ежедневного спорта в офисе до поездок на Байкал, в Карелию и даже в Майрхофен. В «Интегрикс» вы найдёте не только работу, но и команду единомышленников. Мы ищем специалиста по информационной безопасности, который хорошо ориентируется в требованиях ФСТЭК России к защите информации в государственных информационных системах и понимает, как эти требования применять на практике при разработке, внедрении и сопровождении программного обеспечения для государственных заказчиков. Основной фокус роли — помощь в приведении процессов разработки и поддержки ПО в соответствие с требованиями информационной безопасности, включая: Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений»; ГОСТ Р 56939-2024 «Защита информации. Разработка безопасного программного обеспечения. Общие требования»; Иные применимые нормативные и методические документы ФСТЭК России в области защиты информации и безопасной разработки ПО. Специалисту предстоит: Проанализировать текущие процессы разработки, внедрения и сопровождения программного обеспечения; Определить, какие требования ФСТЭК и ГОСТ Р 56939-2024 применимы к нашим продуктам, проектам и внутренним процессам; Подготовить рекомендации по приведению процессов разработки и поддержки ПО в соответствие с требованиями информационной безопасности; Разработать комплект внутренних документов, регламентов, инструкций и чек-листов по ИБ; Описать процесс безопасной разработки ПО: от анализа требований и проектирования до разработки, тестирования, релиза, эксплуатации и сопровождения; Подготовить требования к безопасному проектированию, безопасному программированию, тестированию, сборке, поставке и развертыванию ПО; Описать порядок выявления, учета, анализа и устранения уязвимостей в программном обеспечении; Подготовить требования к использованию сторонних компонентов, библиотек и open-source-зависимостей; Описать порядок проведения проверок безопасности ПО, включая SAST, DAST, SCA, анализ зависимостей, контроль секретов и иные применимые практики; Сформировать требования к журналированию, мониторингу, резервному копированию, управлению доступом и реагированию на инциденты; Участвовать в обсуждении требований ИБ с заказчиками, подрядчиками, разработчиками, аналитиками, тестировщиками, DevOps-инженерами и специалистами сопровождения; Помогать готовить ответы на вопросы государственных заказчиков по части соответствия требованиям ФСТЭК и безопасной разработки ПО; Давать практические рекомендации по внедрению требований ИБ без избыточной бюрократизации рабочих процессов. Ожидаемый результат работы: По итогам работы должен быть сформирован практический комплект документов и рекомендаций, который можно использовать при разработке, внедрении и сопровождении программных решений для государственных организаций. Возможный состав документов: Политика информационной безопасности; Регламент безопасной разработки программного обеспечения; Регламент управления изменениями; Регламент управления доступом; Регламент управления уязвимостями; Регламент реагирования на инциденты ИБ; Регламент анализа защищенности ПО; Порядок проведения SAST/DAST/SCA-проверок; Порядок работы с результатами проверок безопасности; Требования к безопасному проектированию ПО; Требования к безопасному программированию; Требования к безопасной сборке, поставке и развертыванию ПО; Требования к контролю сторонних библиотек и open-source-компонентов; Порядок устранения выявленных уязвимостей и дефектов безопасности; Требования к журналированию и мониторингу событий безопасности; Требования к резервному копированию и восстановлению; Требования к работе с тестовыми, промышленными и демонстрационными средами; Чек-листы безопасной разработки для аналитиков, разработчиков, тестировщиков, DevOps-инженеров и специалистов сопровождения; Чек-лист соответствия процессов разработки требованиям ГОСТ Р 56939-2024; Рекомендации по организации DevSecOps-практик; Шаблоны документов для проектов, связанных с ГИС и информационными системами государственных организаций. Нам важно, чтобы кандидат: Имел практический опыт в информационной безопасности; Понимал специфику государственных информационных систем; Был знаком с приказами и методическими документами ФСТЭК России; Знал требования Приказа ФСТЭК России от 11.04.2025 № 117; Знал ГОСТ Р 56939-2024 «Защита информации. Разработка безопасного программного обеспечения. Общие требования»; Понимал, как требования ИБ применяются на практике при разработке и сопровождении ПО; Мог сопоставить текущие процессы разработки компании с требованиями ФСТЭК и ГОСТ Р 56939-2024; Умел переводить нормативные требования в понятные регламенты, чек-листы и рабочие процедуры; Мог самостоятельно разрабатывать документы по ИБ; Понимал жизненный цикл разработки ПО: анализ, проектирование, разработка, тестирование, сборка, релиз, эксплуатация и сопровождение; Понимал основные классы уязвимостей ПО и подходы к их выявлению; Имел представление о secure SDLC и DevSecOps; Понимал назначение SAST, DAST, SCA, анализа зависимостей, контроля секретов и иных инструментов проверки безопасности ПО; Умел писать структурированные, юридически и технически корректные документы; мог взаимодействовать как с техническими специалистами, так и с управленческой командой; Мог объяснять требования информационной безопасности понятным языком для проектных команд. Плюсом будет опыт: Участия в проектах по созданию, модернизации или сопровождению ГИС; Подготовки систем к аттестации по требованиям безопасности информации; Разработки моделей угроз и требований к защите информации; Взаимодействия с государственными заказчиками; Внедрения процессов безопасной разработки ПО; Подготовки организации или проекта к оценке соответствия требованиям ГОСТ Р 56939; Разработки внутренних стандартов безопасного программирования; Внедрения SAST/DAST/SCA-инструментов; Настройки процесса управления уязвимостями; Участия в проектах, где требования ФСТЭК сочетались с требованиями к безопасной разработке ПО; Подготовки доказательной базы выполнения требований ИБ для заказчиков, аудиторов или аттестационных мероприятий; Подготовки документации для тендеров, контрактов или приемки работ по государственным проектам. Возможны разные форматы сотрудничества: Проектная работа; Частичная занятость; Консультационное сопровождение; Постоянная работа в команде. Формат и объем участия обсуждаются индивидуально в зависимости от опыта кандидата и готовности взять на себя разработку полного комплекта документов и рекомендаций. Что мы предлагаем: Работу с реальными проектами для государственных организаций; Задачи на стыке информационной безопасности, нормативного соответствия, разработки ПО и управления проектами; Возможность повлиять на процессы разработки и сопровождения программных продуктов; Участие в формировании внутренней системы требований к безопасной разработке; гибкий формат взаимодействия; Оплату по договоренности, в зависимости от квалификации, формата сотрудничества и объема задач. Кого мы хотим видеть: Нам нужен не формальный «аудитор по чек-листу», а практичный специалист, который понимает требования ФСТЭК и ГОСТ Р 56939-2024 и может помочь встроить их в реальные процессы разработки и поддержки программных продуктов. Важно, чтобы результатом работы были не только документы «для папки», но и понятные правила, которыми смогут пользоваться аналитики, разработчики, тестировщики, DevOps-инженеры, проектные менеджеры и специалисты сопровождения.