Руководитель команды информационной безопасности

SMALL — крупнейшая сеть супермаркетов в Казахстане: 150+ магазинов, собственные ЦОДы, облачная платформа и логистика 24×7. Мы активно цифровизируем e‑commerce, BI и внутренние сервисы, выстраивая устойчивую цифровую экосистему.

Чтобы рост был безопасным, в департаменте ИТ (ДИТ) формируем новую независимую команду информационной безопасности. Её задача — проактивно защищать инфраструктуру, интегрировать DevSecOps и управлять рисками до того, как они станут инцидентами.

Сейчас мы ищем Head of InfoSec, который задаст стратегию, сформирует команду с нуля и выстроит подход «безопасность по умолчанию».

Что предстоит делать:

• Построить и возглавить команду ИБ (6–8 человек: SecOps, AppSec, Red Team, GRC).
• Разработать стратегию защиты корпоративной инфраструктуры и приложений (Kubernetes, CI/CD, облако.
• Выстроить процессы управления уязвимостями: регулярные сканы, Bug Bounty, SL на устранение (sev‑1 ≤ 48 ч).
• Внедрить DevSecOps-практики: SAST/DAST, Trivy/Grype, policy-as-code (OPA, Gatekeeper).
• Развернуть SOC-функцию на базе SIEM (Wazuh, ELK или Splunk), прописать алерты, playbooks и процессы реагирования.
• Построить Zero Trust-архитектуру: сегментация, NAC, MFA, HashiCorp Vault, SOPS.
• Проводить фишинг‑симуляции и тренировки для сотрудников (security awareness).
• Участвовать в проектировании новых ЦОДов и облака — с безопасностью на этапе дизайна.
• Поддерживать соответствие требованиям: ISO 27001, PCI DSS, 832-П, готовить RCA/postmortem по инцидентам.
  

Что для нас важно при выборе кандидата:

• 5+ лет в сфере информационной безопасности, включая ≥2 года в роли тимлида/руководителя.
• Опыт построения SOC/CSIRT, внедрения SIEM, EDR, разработки IR-процессов.
• Знание сетевой безопасности (NGFW, IDS/IPS, WAF, DDoS), харденинга Linux и Windows
• Умение внедрять DevSecOps-инструменты: GitLab CI/CD, SAST/DAST, контейнерная безопасность
• Практика координации pentest/Red Team, Bug Bounty, Threat Modeling (STRIDE/DREAD)
• Знание стандартов ISO 27001, PCI DSS, NIST CSF, MITRE ATT&CK, 832-П
• Скриптинг и автоматизация: Python/Bash/Go, Ansible, Terraform, Falco, OsqueryСильные soft skills: системное мышление, управление бюджетом, навыки коммуникации на уровне C‑level

Что предлагаем: 

• Выбор формата работы: офис (Алматы или Астана), гибрид или фулл-ремоут.
• Возможность самостоятельно формировать команду, инструменты и security roadmap.
• Поддержка обучения: сертификации (CISSP, OSCP, CKS), конференции (Black Hat, SAS), доступ к lab-кластеру.
• Реальное влияние на архитектуру облака, ЦОДов и всей DevOps-инфраструктуры