DevSecOps Engineer in Kraków

Camlin jest globalnym liderem technologicznym, który działa z wizją wprowadzania rewolucyjnych produktów do życia w szerokim zakresie branż, w tym energetyki i kolejnictwa, a także ma zainteresowania w wielu projektach badawczo-rozwojowych w różnych sektorach naukowych. W Camlin wierzymy w wysoką jakość inżynierii i projektowania, co pozwala nam rozwijać wiodące na rynku produkty i usługi. Krótko mówiąc, uwielbiamy tworzyć wartość dla naszych klientów, rozwiązując trudne problemy. Obecnie Camlin działa w ponad 20 krajach na całym świecie.

Szukamy inżyniera DevSecOps (lub inżyniera DevOps z silnym nastawieniem na bezpieczeństwo), aby wzmocnić naszą jednostkę systemów wbudowanych. W tej roli będziesz ściśle współpracować z zespołami rozwoju wbudowanego oraz naszym zespołem ds. zarządzania bezpieczeństwem informacji (ISMS), aby zapewnić, że nasze produkty przemysłowe i wdrażane w terenie spełniają wymagania dotyczące cyberbezpieczeństwa określone w CRA, RED i IEC 62443. Nie będziesz odpowiedzialny za tworzenie procesów zarządzania; zamiast tego będziesz wykonywać i stosować przepływy pracy oraz polityki określone przez ISMS, zapewniając ich konsekwentne wdrażanie w środowiskach rozwoju, testowania, produkcji i wdrażania.

Obowiązki:

• Bezpieczny rozwój i zgodność: Wykonywanie bezpiecznych przepływów pracy rozwoju określonych przez ISMS. Wsparcie programistów w stosowaniu praktyk bezpiecznego kodowania, mechanizmów aktualizacji, kontroli dostępu i dokumentacji zgodnych z CRA/RED/IEC 62443.
• Skany i raportowanie podatności: Uruchamianie narzędzi SCA/SAST/DAST (np. SonarQube, JFrog XRay) w ramach pipeline'ów CI/CD. Przygotowywanie wykonalnych raportów o podatnościach zgodnych z wymaganiami dotyczącymi obsługi podatności CRA i IEC 62443.
• Testowanie bezpieczeństwa: Wykonywanie lub koordynowanie testów bezpieczeństwa typu grey-box lub white-box na wydaniach oprogramowania układowego i backendu. Walidacja zachowania systemu zgodnie z zabezpieczeniami cybernetycznymi RED 3.3(d/e/f) oraz wymaganiami komponentów IEC 62443.
• Raportowanie licencji oprogramowania i SBOM: Generowanie i utrzymywanie list materiałowych oprogramowania (SBOM). Tworzenie raportów zgodności licencji OSS w celu wsparcia przejrzystości CRA i dokumentacji łańcucha dostaw.
• Narzędzia bezpieczeństwa dla produkcji i urządzeń terenowych: Obsługa i utrzymanie pipeline'ów podpisywania oprogramowania. Zarządzanie przydzielaniem certyfikatów, narzędziami do zarządzania kluczami i bezpiecznymi procesami onboardingu urządzeń określonymi przez ISMS. Wsparcie bezpiecznych procesów produkcyjnych, takich jak wstrzykiwanie tożsamości urządzenia i obsługa chronionej konfiguracji.
• Systemy testowe fabryczne: Posiadanie i poprawa testów samodzielnych fabryki, diagnostyki i infrastruktury serwera produkcyjnego. Dodawanie nowych pulpitów nawigacyjnych, metryk wydajności i KPI produkcji. Wdrażanie wizualizacji danych, alertów i monitorowania w narzędziach takich jak Grafana.
• Baza danych i infrastruktura backendowa: Utrzymywanie i dalszy rozwój bazy danych produkcyjnej. Wdrażanie wersjonowania schematu. Rozwój API w celu zastąpienia bezpośredniego dostępu SQL i poprawy integralności danych. Optymalizacja struktury bazy danych, zapytań i ogólnej wydajności.
• CI/CD i automatyczne wdrażanie: Utrzymywanie bezpiecznych, powtarzalnych pipeline'ów budowy i wydania CI/CD dla oprogramowania układowego i usług backendowych. Zarządzanie procesami wdrażania, w tym przydzielaniem środowisk, podpisywaniem artefaktów i śledzeniem wydań.

Wymagane umiejętności i kwalifikacje:

• Znajomość narzędzi SCA/SAST/DAST, takich jak SonarQube, JFrog XRay lub podobnych.
• Zrozumienie standardów SBOM (CycloneDX, SPDX).
• Programowanie w Pythonie, Node.js.
• Doświadczenie z bazami danych SQL i projektowaniem API.
• Praktyczna wiedza na temat narzędzi monitorujących i obserwowalności (Grafana, Prometheus, Loki).
• Umiejętność utrzymania i rozwiązywania problemów z systemami automatyzacji fabrycznej i usługami backendowymi.
• Doświadczenie z Embedded Linux i Yocto.

Cyberbezpieczeństwo i standardy:

• Zrozumienie zasad cyberbezpieczeństwa istotnych dla systemów wbudowanych.
• Świadomość wymagań dotyczących cyberbezpieczeństwa CRA, RED oraz koncepcji IEC 62443 (strefy, przewody, cykl życia rozwoju oprogramowania zabezpieczonego).
• Chęć do wykonywania procesów określonych przez ISMS (bezpieczny SDLC, zarządzanie podatnościami, wsparcie incydentów).
• Znajomość bezpiecznych protokołów komunikacyjnych (TLS, przypinanie certyfikatów, zaszyfrowane warstwy transportowe).

Pożądane kwalifikacje (mile widziane):

• Znajomość rozwoju pipeline'ów CI/CD w GitLab.
• Znajomość architektury baz danych.
• Doświadczenie z Node.js.
• Praktyczne doświadczenie z Grafana.

Korzyści:

• Umowa o pracę z konkurencyjnym wynagrodzeniem.
• Praca w małych, samoorganizujących się i autonomicznych zespołach deweloperskich z możliwością wyboru technologii i najlepszych praktyk.
• Model pracy hybrydowej (biuro w Krakowie).
• Program emerytalny i ubezpieczenia na życie.
• Miejsca parkingowe (samochód i rower).
• UoP z 80% ulgą podatkową na prawa autorskie.
• System MyBenefit z członkostwem Multisport, prywatną opieką zdrowotną (Medicover).
• Programy wellness.

Nasze wartości:

• Pracujemy razem.
• Wierzymy w ludzi.
• Nie zaakceptujemy „sposobu, w jaki zawsze to robiono”.
• Słuchamy, aby się uczyć.
• Staramy się robić to, co właściwe.

Oświadczenie o równych szansach zatrudnienia: Osoby ubiegające się o zatrudnienie w Camlin są rozpatrywane bez względu na rasę, kolor skóry, religię, pochodzenie narodowe, wiek, płeć, stan cywilny, przodków, niepełnosprawność fizyczną lub psychiczną, tożsamość płciową lub orientację seksualną.