Шаблон CV Middle Инженер по безопасности приложений
Готовый шаблон CV для Middle Инженер по безопасности приложений. Оптимизирован под ATS-системы.
Зарплата Middle (US)
$175,000 - $240,000
Почему это CV работает
Каждый пункт открывает глагол владения
Руководила, Спроектировала, Эмбеддилась, Провела, Менторила. Mid-level AppSec эмбеддится в продуктовый орг и катит pre-prod gates, а не просто закрывает тикеты.
Жёсткие цифры вместо 'улучшила безопасность'
0.91 true-positive rate, в 47 репозиториях, 3 400+ false positives quarterly, 84% high-severity findings, 12 detection gaps. Конкретика отделяет AppSec-инженера от универсала.
Результаты привязаны к релизной реальности
Не 'делала threat models', а 'в payments-орге с on-call SRE и продуктовым лидерством'. Не 'писала правила', а 'STRIDE templates, ставшие org-wide standard'. Контекст показывает встроенную глубину.
Внутри инженерии, а не рядом с ней
Менторила 2 SDE в AppSec ротацию, эмбеддилась с mobile-platform engineering на 9 месяцев, ротация threat modeling по 11 backend-сервисам. Mid-level AppSec живёт внутри продуктовых команд.
Конкретные инструменты, а не 'AppSec-стек'
'Спроектировала Semgrep ruleset' и 'отключила шумный Veracode pipeline' — это решения. 'AppSec-стек' — это слово. Называйте, что внедрили, что убили и в какой стадии SDLC оно работает.
Необходимые навыки
- Semgrep
- CodeQL
- Snyk
- Veracode
- Checkmarx
- Burp Suite Pro
- Caido
- OWASP ZAP
- Threat Modeling (STRIDE)
- OWASP ASVS
- NIST SSDF
- SLSA
- ISO 27001
- SOC 2
- Python
- Go
- TypeScript
- Rust
- AWS
- GCP
- Kubernetes
- Terraform
- HashiCorp Vault
- Sigstore
- Cosign
Улучшите своё CV
CV инженера по безопасности приложений: как попасть внутрь продуктового инжиниринга, а не рядом с ним
Application Security - это та роль, которую нанимающие менеджеры хотят закрыть, но почти всегда закрывают плохо. AppSec - это не IT-безопасность. Не ротация SOC-аналитика. Не GRC, пишущий политики. Это инженерная роль внутри продуктовых команд, отвечающая за threat models, SAST- и SCA-пайплайны, supply-chain provenance и secure-SDLC. Рекрутеры в Yandex Security, Лаборатории Касперского, Тинькофф, Sber Cybersecurity и Positive Technologies сканируют CV в поисках одного сигнала: вы читаете код и катите guardrails или пересылаете находки и называете это программой.
Жестокая правда: большинство AppSec-резюме фильтруется по одной причине. В них пишут 'ревьювил код на безопасность' вместо 'выкатил Semgrep-gate с autofix в 47 репозиториях'. CISSP стоит в начале первой страницы, а Burp Suite упомянут один раз. Заявляется 'снижение уязвимостей' без цифры по SLA-violations. Нанимающий цикл смотрит на signal-to-noise, а не на стопку сертификатов.
Этот гид разбирает, что работает на каждом уровне AppSec: junior триажит SAST-находки и пишет Semgrep-правила, middle эмбеддится в один продуктовый орг и ведёт threat models, senior владеет программой в 5+ оргах и принимает решения по ASPM, lead задаёт org-wide стратегию и презентует риск audit committee. Все примеры построены на реальных инструментах (Semgrep, CodeQL, Snyk, Veracode, Checkmarx, Trivy, OSV-Scanner, Sigstore, Cosign, Apiiro, OX Security, Endor Labs, HackerOne, Bugcrowd) и реальных метриках (true-positive rate, MTTR, threat-model coverage, payout-per-critical), на которые реально пэттерн-матчат менеджеры.
Лучшие практики для CV Middle-инженера AppSec
Начинайте с embedded-работы, а не с консалтинга. Mid-level AppSec - это месяцы внутри продуктового орга. 'Эмбеддилась с mobile-platform engineering на 9 месяцев, выкатила pre-prod gating, закрывшее 84% high-severity findings до релиза'. Всё, что читается как drive-by аудит, бакетится с GRC-консультантами.
Одно решение по вендору стоит десяти перечисленных инструментов. 'Спроектировала Semgrep ruleset, развёрнутый в 47 репозиториях с 0.91 true-positive rate, отключив шумный Veracode pipeline, генерировавший 3 400+ false positives quarterly' - это решение. Оно говорит, что вы замерили оба продукта, приняли решение и владеете метриками.
Threat-model coverage - метрика, по которой вас молча оценивают. 'Руководила threat modeling-ротацией по 11 backend-сервисам в payments-орге' показывает владение процессом, а не одно совещание. Бонус за артефакт и каденс.
Назовите двух инженеров, переведённых в AppSec, а не 'менторила джунов'. Разрыв mid → senior - в способности затащить backend-SDE в AppSec-ротацию. 'Менторила 2 SDE в AppSec ротацию через 6-месячный курс по Burp Suite Pro, Caido и supply-chain attacks' доказывает, что вы масштабируете себя.
Проведите одно tabletop-учение в год и вставьте его в CV. 'Провела tabletop exercise по сценарию утечки токена с on-call SRE и продуктовым лидерством, выявив 12 detection gaps и 4 missing runbooks' - один буллет, переформулирующий вас как человека, способного работать под давлением.
Частые ошибки в CV Middle-инженера AppSec
- Читается как продвинутый junior
Почему это вредит: Mid-level CV, перечисляющие больше SAST-находок, больше правил, больше репозиториев, читаются как junior с 3 годами опыта. Они не сигнализируют embedded-работу, решения по вендорам или threat-model coverage.
Как исправить: Добавьте минимум один буллет на роль, называющий замену вендора, threat-modeling процесс, которым вы владели, или embedded-енгейджмент с продуктовой командой длиннее 6 месяцев. 'Эмбеддилась с mobile-platform engineering на 9 месяцев' - фраза, выводящая из junior-бакета.
- Tool-list секция, читающаяся как у junior
Почему это вредит: Если skills говорят 'Semgrep, CodeQL, Burp Suite, Wireshark, OWASP Top 10', вы сливаетесь с каждым entry-level резюме. Mid-level ожидает осознанный стек: SAST/SCA отдельно от DAST/Recon отдельно от Frameworks.
Как исправить: Группируйте навыки по функции AppSec (SAST и SCA, DAST и Recon, Cloud Security, Frameworks) и срезайте всё, что не защитите за 30 минут интервью.
- Threat models, спрятанные под 'security reviews'
Почему это вредит: 'Проводила security reviews новых сервисов' - это GRC-язык. AppSec-менеджеры хотят видеть именно threat modeling с фреймворком (STRIDE, LINDDUN, PASTA) и артефактом (data-flow diagram, abuse cases, mitigation backlog).
Как исправить: Замените 'security reviews' на 'Руководила threat modeling-ротацией по 11 backend-сервисам в payments-орге, написав STRIDE templates, ставшие org-wide standard'.
Советы по CV для Middle-инженера AppSec
Выберите одну специализацию и владейте ей. Threat modeling, supply-chain provenance, ASPM rollout или detection engineering. Mid-level без специализации упирается в потолок около $200K. Специалисты с одной глубокой областью пробивают его.
Владейте одним результатом менторства инженера. Затащить 1-2 backend SDE в AppSec-ротацию через задокументированный 6-месячный курс - это буллет, приносящий senior-интервью.
Проведите одно tabletop и задокументируйте найденные gaps. Не 'tabletop по incident response', а 'tabletop по сценарию утечки токена, выявив 12 detection gaps и 4 missing runbooks'.
Часто задаваемые вопросы
Рекомендуемые сертификации
Подготовка к собеседованию
Интервью на Application Security Engineer проверяют глубину чтения кода, инстинкты threat modeling и зрелость program-мышления. Ожидайте live code review (Python/Go/TypeScript с намеренно уязвимыми паттернами), whiteboard-сессию по threat modeling вымышленного сервиса и глубокое погружение по одному инструменту, которым вы заявляете владение (Semgrep, CodeQL, Burp Suite Pro, Caido). Senior+ раунды добавляют вопросы по ASPM-стратегии, walk-through vendor-решений и проектирование supply-chain provenance (Sigstore, Cosign, SLSA Level 3). Lead-раунды добавляют экономику bug-bounty, vendor consolidation и симуляцию audit-committee ридаута.
Частые вопросы
Частые вопросы:
- Пройдитесь по недавнему threat model: scope, фреймворк, артефакты, mitigations
- Почему оставили один SAST-инструмент и убили другой? Какие метрики двигали решение?
- Опишите embedded engagement с продуктовой командой и что вы выкатили
- Как вы измеряете, работает ли ваш secure-SDLC?
- Пройдитесь по tabletop-учению, которое провели, и gaps, которые оно выявило
Советы: Имейте наготове одну явную замену вендора, одну threat-modeling ротацию, один результат менторства. Senior-интервьюеры пробуют кросс-командную работу. Избегайте чистой технической глубины без program-фрейминга.