Skip to content
Технологии и ИнженерияMiddle

Шаблон CV Middle Инженер по безопасности приложений

Готовый шаблон CV для Middle Инженер по безопасности приложений. Оптимизирован под ATS-системы.

Зарплата Middle (US)

$175,000 - $240,000

Почему это CV работает

Каждый пункт открывает глагол владения

Руководила, Спроектировала, Эмбеддилась, Провела, Менторила. Mid-level AppSec эмбеддится в продуктовый орг и катит pre-prod gates, а не просто закрывает тикеты.

Жёсткие цифры вместо 'улучшила безопасность'

0.91 true-positive rate, в 47 репозиториях, 3 400+ false positives quarterly, 84% high-severity findings, 12 detection gaps. Конкретика отделяет AppSec-инженера от универсала.

Результаты привязаны к релизной реальности

Не 'делала threat models', а 'в payments-орге с on-call SRE и продуктовым лидерством'. Не 'писала правила', а 'STRIDE templates, ставшие org-wide standard'. Контекст показывает встроенную глубину.

Внутри инженерии, а не рядом с ней

Менторила 2 SDE в AppSec ротацию, эмбеддилась с mobile-platform engineering на 9 месяцев, ротация threat modeling по 11 backend-сервисам. Mid-level AppSec живёт внутри продуктовых команд.

Конкретные инструменты, а не 'AppSec-стек'

'Спроектировала Semgrep ruleset' и 'отключила шумный Veracode pipeline' — это решения. 'AppSec-стек' — это слово. Называйте, что внедрили, что убили и в какой стадии SDLC оно работает.

Необходимые навыки

  • Semgrep
  • CodeQL
  • Snyk
  • Veracode
  • Checkmarx
  • Burp Suite Pro
  • Caido
  • OWASP ZAP
  • Threat Modeling (STRIDE)
  • OWASP ASVS
  • NIST SSDF
  • SLSA
  • ISO 27001
  • SOC 2
  • Python
  • Go
  • TypeScript
  • Rust
  • AWS
  • GCP
  • Kubernetes
  • Terraform
  • HashiCorp Vault
  • Sigstore
  • Cosign

Улучшите своё CV

CV инженера по безопасности приложений: как попасть внутрь продуктового инжиниринга, а не рядом с ним

Application Security - это та роль, которую нанимающие менеджеры хотят закрыть, но почти всегда закрывают плохо. AppSec - это не IT-безопасность. Не ротация SOC-аналитика. Не GRC, пишущий политики. Это инженерная роль внутри продуктовых команд, отвечающая за threat models, SAST- и SCA-пайплайны, supply-chain provenance и secure-SDLC. Рекрутеры в Yandex Security, Лаборатории Касперского, Тинькофф, Sber Cybersecurity и Positive Technologies сканируют CV в поисках одного сигнала: вы читаете код и катите guardrails или пересылаете находки и называете это программой.

Жестокая правда: большинство AppSec-резюме фильтруется по одной причине. В них пишут 'ревьювил код на безопасность' вместо 'выкатил Semgrep-gate с autofix в 47 репозиториях'. CISSP стоит в начале первой страницы, а Burp Suite упомянут один раз. Заявляется 'снижение уязвимостей' без цифры по SLA-violations. Нанимающий цикл смотрит на signal-to-noise, а не на стопку сертификатов.

Этот гид разбирает, что работает на каждом уровне AppSec: junior триажит SAST-находки и пишет Semgrep-правила, middle эмбеддится в один продуктовый орг и ведёт threat models, senior владеет программой в 5+ оргах и принимает решения по ASPM, lead задаёт org-wide стратегию и презентует риск audit committee. Все примеры построены на реальных инструментах (Semgrep, CodeQL, Snyk, Veracode, Checkmarx, Trivy, OSV-Scanner, Sigstore, Cosign, Apiiro, OX Security, Endor Labs, HackerOne, Bugcrowd) и реальных метриках (true-positive rate, MTTR, threat-model coverage, payout-per-critical), на которые реально пэттерн-матчат менеджеры.

Лучшие практики для CV Middle-инженера AppSec

  1. Начинайте с embedded-работы, а не с консалтинга. Mid-level AppSec - это месяцы внутри продуктового орга. 'Эмбеддилась с mobile-platform engineering на 9 месяцев, выкатила pre-prod gating, закрывшее 84% high-severity findings до релиза'. Всё, что читается как drive-by аудит, бакетится с GRC-консультантами.

  2. Одно решение по вендору стоит десяти перечисленных инструментов. 'Спроектировала Semgrep ruleset, развёрнутый в 47 репозиториях с 0.91 true-positive rate, отключив шумный Veracode pipeline, генерировавший 3 400+ false positives quarterly' - это решение. Оно говорит, что вы замерили оба продукта, приняли решение и владеете метриками.

  3. Threat-model coverage - метрика, по которой вас молча оценивают. 'Руководила threat modeling-ротацией по 11 backend-сервисам в payments-орге' показывает владение процессом, а не одно совещание. Бонус за артефакт и каденс.

  4. Назовите двух инженеров, переведённых в AppSec, а не 'менторила джунов'. Разрыв mid → senior - в способности затащить backend-SDE в AppSec-ротацию. 'Менторила 2 SDE в AppSec ротацию через 6-месячный курс по Burp Suite Pro, Caido и supply-chain attacks' доказывает, что вы масштабируете себя.

  5. Проведите одно tabletop-учение в год и вставьте его в CV. 'Провела tabletop exercise по сценарию утечки токена с on-call SRE и продуктовым лидерством, выявив 12 detection gaps и 4 missing runbooks' - один буллет, переформулирующий вас как человека, способного работать под давлением.

Частые ошибки в CV Middle-инженера AppSec

  1. Читается как продвинутый junior

Почему это вредит: Mid-level CV, перечисляющие больше SAST-находок, больше правил, больше репозиториев, читаются как junior с 3 годами опыта. Они не сигнализируют embedded-работу, решения по вендорам или threat-model coverage.

Как исправить: Добавьте минимум один буллет на роль, называющий замену вендора, threat-modeling процесс, которым вы владели, или embedded-енгейджмент с продуктовой командой длиннее 6 месяцев. 'Эмбеддилась с mobile-platform engineering на 9 месяцев' - фраза, выводящая из junior-бакета.

  1. Tool-list секция, читающаяся как у junior

Почему это вредит: Если skills говорят 'Semgrep, CodeQL, Burp Suite, Wireshark, OWASP Top 10', вы сливаетесь с каждым entry-level резюме. Mid-level ожидает осознанный стек: SAST/SCA отдельно от DAST/Recon отдельно от Frameworks.

Как исправить: Группируйте навыки по функции AppSec (SAST и SCA, DAST и Recon, Cloud Security, Frameworks) и срезайте всё, что не защитите за 30 минут интервью.

  1. Threat models, спрятанные под 'security reviews'

Почему это вредит: 'Проводила security reviews новых сервисов' - это GRC-язык. AppSec-менеджеры хотят видеть именно threat modeling с фреймворком (STRIDE, LINDDUN, PASTA) и артефактом (data-flow diagram, abuse cases, mitigation backlog).

Как исправить: Замените 'security reviews' на 'Руководила threat modeling-ротацией по 11 backend-сервисам в payments-орге, написав STRIDE templates, ставшие org-wide standard'.

Советы по CV для Middle-инженера AppSec

  1. Выберите одну специализацию и владейте ей. Threat modeling, supply-chain provenance, ASPM rollout или detection engineering. Mid-level без специализации упирается в потолок около $200K. Специалисты с одной глубокой областью пробивают его.

  2. Владейте одним результатом менторства инженера. Затащить 1-2 backend SDE в AppSec-ротацию через задокументированный 6-месячный курс - это буллет, приносящий senior-интервью.

  3. Проведите одно tabletop и задокументируйте найденные gaps. Не 'tabletop по incident response', а 'tabletop по сценарию утечки токена, выявив 12 detection gaps и 4 missing runbooks'.

Часто задаваемые вопросы

Инженер AppSec встроен в продуктовые инженерные команды и владеет threat models, SAST/DAST/SCA-программами, внедрением secure-SDLC, сетями security-champions, intake-ом vulnerability disclosure и supply-chain provenance. Пишет Semgrep- и CodeQL-правила, ведёт tabletop-учения и блокирует релизы на находках. AppSec — это инженерная работа, не policy и не SOC-аналитик.

SOC-аналитики смотрят алерты с продакшен-телеметрии. IT-security защищает корпоративный IT (ноутбуки, identity, сеть). GRC пишет политики и проводит аудиты. AppSec — ничего из этого. AppSec сидит внутри продуктового инжиниринга, читает pull request, пишет detection-as-code и катит pre-prod gates. Стек — Semgrep, CodeQL, Burp Suite Pro, Caido, Sigstore, Apiiro, а не SIEM-дашборды или policy-документы.

OSCP и OSWE (Offensive Security) сигнализируют hands-on attacker-глубину. GIAC GWAPT — зрелость web app pentesting. AWS Certified Security и CCSP полезны на mid-to-senior cloud-AppSec. CISSP становится релевантным с senior+ для management visibility, не как junior-сигнал. CompTIA Security+ как baseline — нормально. CISSP, CISM, CRISC, сложенные стопкой на junior-уровне, реально снижают AppSec-callback rate, потому что pattern-match-ятся с GRC-кандидатами.

SAST true-positive rate (0.42 → 0.78 — конкретно), MTTR для sev-1 и sev-2 находок, threat-model coverage на новых сервисах в процентах, security-champions adoption в процентах команд, bug-bounty payout efficiency (payout-per-critical и time-to-triage), pre-prod findings closed pre-release rate и supply-chain artifact provenance coverage. CV без минимум трёх таких метрик отфильтровываются до рекрутер-скрина.

Да, оба. Публичный Semgrep-рулсет с измеримой адопцией (stars, контрибьюторы, downstream-использование) — самый высоколеверажный сигнал на junior и mid-уровне. Репорты в HackerOne или Bugcrowd с суммами выплат и CVE ID доказывают чтение attacker-side. Оба явно ищутся при сорсинге.

Три сигнала. Первый — одна явная замена вендора с долларовой суммой (убил Veracode за Semgrep+CodeQL, $620K отбито). Второй — embedded engagement длиннее 6 месяцев с продуктовым оргом и coverage-дельтой. Третий — менторство, конвертировавшее 1-2 SDE в AppSec-ротацию. Если в CV есть все три, вы конкурентоспособны на senior. Если нет ни одного — читаетесь как продвинутый junior независимо от лет опыта.

Рекомендуемые сертификации

Подготовка к собеседованию

Интервью на Application Security Engineer проверяют глубину чтения кода, инстинкты threat modeling и зрелость program-мышления. Ожидайте live code review (Python/Go/TypeScript с намеренно уязвимыми паттернами), whiteboard-сессию по threat modeling вымышленного сервиса и глубокое погружение по одному инструменту, которым вы заявляете владение (Semgrep, CodeQL, Burp Suite Pro, Caido). Senior+ раунды добавляют вопросы по ASPM-стратегии, walk-through vendor-решений и проектирование supply-chain provenance (Sigstore, Cosign, SLSA Level 3). Lead-раунды добавляют экономику bug-bounty, vendor consolidation и симуляцию audit-committee ридаута.

Частые вопросы

Частые вопросы:

  • Пройдитесь по недавнему threat model: scope, фреймворк, артефакты, mitigations
  • Почему оставили один SAST-инструмент и убили другой? Какие метрики двигали решение?
  • Опишите embedded engagement с продуктовой командой и что вы выкатили
  • Как вы измеряете, работает ли ваш secure-SDLC?
  • Пройдитесь по tabletop-учению, которое провели, и gaps, которые оно выявило

Советы: Имейте наготове одну явную замену вендора, одну threat-modeling ротацию, один результат менторства. Senior-интервьюеры пробуют кросс-командную работу. Избегайте чистой технической глубины без program-фрейминга.

Обновлено: