Карта профессий / Безопасная разработка и AppSec

Безопасная разработка и AppSec

Помогать создавать приложения без опасных ошибок — от проекта до выпуска.

4 роли · 1 роль в команде15 навыковРоли и навыки ↓
14 направлений · 104 навыка
Например:
Роли и навыки направления

Выберите роль или навык на карте.

100%
ЗнанияНавыкиВыбранная рольТехнологии
Как пользоваться картой

Слева — знания и навыки, в центре — профессии, справа — технологии. Сверху показан опыт, с которым можно прийти в направление.

Нажмите на роль: её связи выделятся. Кнопка «Задачи и обучение» откроет подробный профиль ниже карты. Стрелки — возможные переходы, пунктир — зависимость от задач.

Масштаб — кнопками или Ctrl + колесо. На телефоне доступны карточки профессий с задачами, навыками и курсами.

Загружаем интерактивную карту…Описания ролей и материалы уже доступны ниже.

Команды и смежные специализацииDevSecOps →Внедрение проверок в сборку и выпуск ПО.Пентест →Независимая проверка защищённости приложения.

Роли и навыки

Работа начинается ещё до написания кода: нужно понять угрозы и заложить защиту в архитектуру. Затем — проверять код и зависимости, помогать разработчикам устранять ошибки и поддерживать безопасную разработку в продуктовой команде.

Должность

AppSec-инженер

Помогает продуктовой команде находить и устранять риски безопасности приложения.

  • Моделировать угрозы системы
  • Проверять безопасность кода
  • Контролировать зависимости ПО
  • Организовывать устранение уязвимостей
  • Согласовывать решения с другими командами

Базовые знания: Моделирование угроз; Бизнес-процессы; Идентификация и доступ; Основы программирования; Жизненный цикл ПО; Веб-приложения и API; Компоненты и зависимости; Git и тестирование; Управление сервисом; Меры защиты и проверка их выполнения; Показатели качества; Техническая аргументация.

Подробнее о ролиМатериал по теме ↗Курсы по AppSec ↗
Должность

Архитектор безопасности приложений

Определяет защитные свойства продукта и обосновывает архитектурные решения.

  • Проектировать защиту системы
  • Моделировать угрозы системы
  • Выбирать и проверять меры защиты
  • Согласовывать решения с другими командами

Базовые знания: Моделирование угроз; Меры защиты и проверка их выполнения; Бизнес-процессы; Идентификация и доступ; Риск и последствия; Управление сервисом; Техническая аргументация.

Подробнее о ролиМатериал по теме ↗Курсы по AppSec ↗
Должность

Разработчик СЗИ

Создаёт программные компоненты средств защиты информации: от обработки событий и сетевых протоколов до агентов, сервисов и интерфейсов управления. Стек зависит от продукта и платформы.

  • Разрабатывать компоненты СЗИ
  • Находить и исправлять дефекты ПО
  • Тестировать функциональность и надёжность ПО
  • Собирать и выпускать компоненты ПО
  • Реализовывать защитные механизмы

Базовые знания: Основы программирования; Выполнение программ и память; Git и тестирование; Журналы событий и синхронизация времени; Жизненный цикл ПО; Компоненты и зависимости; CI/CD; Идентификация и доступ.

Зависит от используемых систем: Веб-приложения и API.

Подробнее о ролиМатериал по теме ↗Курсы по AppSec ↗
Дополнительная роль в команде

Security Champion

Помогает своей команде разработки применять практики безопасной разработки и взаимодействовать с AppSec. Эту дополнительную роль может выполнять разработчик, тестировщик или другой участник команды.

  • Моделировать угрозы системы
  • Контролировать зависимости ПО
  • Согласовывать решения с другими командами

Базовые знания: Моделирование угроз; Бизнес-процессы; Идентификация и доступ; Компоненты и зависимости; Жизненный цикл ПО; Git и тестирование; Управление сервисом; Техническая аргументация.

Зависит от используемых систем: Основы программирования; Выполнение программ и память.

Подробнее о ролиМатериал по теме ↗Курсы по DevSecOps ↗
Должность

Специалист по безопасности AI/LLM-решений

Исследует и проверяет границы доверия приложений с моделями и агентами.

  • Анализировать угрозы AI/LLM-приложениям
  • Проверять безопасность AI/LLM-интеграций
  • Моделировать угрозы системы

Базовые знания: Модели, RAG и AI-агенты; Моделирование угроз; Идентификация и доступ; Веб-приложения и API; Git и тестирование; Бизнес-процессы.

Зависит от используемых систем: Принципы работы облачных сервисов; API и интеграции.

Подробнее о ролиМатериал по теме ↗Курсы по AppSec ↗

Технологии и инструменты

Это примеры рабочих средств. Конкретный набор зависит от задач, платформы и используемых в компании решений.

SAST

Статический анализ исходного кода и связанных артефактов.

DAST

Проверки работающего приложения снаружи.

SCA

Анализ состава и рисков программных зависимостей.

Моделирование архитектуры и угроз

Описание компонентов, потоков данных и границ доверия. Инструмент помогает вести модель, а обоснование угроз и мер остаётся задачей специалиста.

Разработка, сборка и отладка

Инструменты программирования, воспроизводимой сборки, отладки и автоматизированного тестирования под язык и платформу продукта.

Git и платформы CI/CD

Хранение исходного кода, проверка изменений и выполнение сборки и выпуска ПО с управлением правами и секретами.

Проверки AI/LLM-приложений

Проверка нежелательного поведения модели и приложения, обработки недоверенных инструкций и полномочий подключённых инструментов.

Прокси и инструменты тестирования

Исследование запросов и поведения приложения в согласованной области.

Языки и инструменты автоматизации

Скрипты обработки данных, интеграций и проверок. Язык выбирают с учётом задачи и рабочей среды.

Обучение

Курсы и подготовка

Безопасная разработка и AppSec

Выберите профессию, чтобы уточнить обучение.
Positive TechnologiesКурс по направлению

Безопасность приложений: практикум для инженеров

6 недельОнлайн

Безопасная разработка, моделирование угроз, SAST/DAST/SCA, SBOM и включение проверок в CI/CD.

Реализовывать защитные механизмыПроверять безопасность кодаКонтролировать зависимости ПО
Требования к подготовке

Программирование хотя бы на одном из Python, Java или PHP; Git, Docker, CI/CD и GitLab, редактор кода, базовые Nginx и ОС. Опыт AppSec-инструментов желателен.

Программа курса
PortSwiggerКурс по направлению

Web Security Academy

Самостоятельно, бесплатные лабораторииАнглийский

Теория и интерактивные лаборатории по безопасности веб-приложений и API. Самостоятельная практика отдельных классов уязвимостей.

Проверять безопасность веб-приложений и APIПланировать проверку защищённости
Уровень заданий

Лаборатории разной сложности; подготовка зависит от темы и уровня. Начните с вводных материалов выбранного раздела.

Программа курса

Статьи по теме

Разобраться в терминах

Расписание курсов СЗИ и ИБ-решения

Связанные направления

Команды взаимодействуют при защите систем, обнаружении угроз и расследовании инцидентов.

Пентест и Red Team →Исследования и анализ вредоносного ПО →DevSecOps и безопасность поставки ПО →Риски, требования и управление ИБ →