Матрица компетенций: Application Security / DevSecOps
Матрица показывает, что нужно знать на каждом грейде, и открыта полностью. Как мы её составили и как считаем грейд — в методологии.
Hard skills
Skill Passport — Информационная безопасность
Security requirements и abuse casesОбъясняет назначение компетенции «Security requirements и abuse cases» и базовые понятия: рисковые сценарии, требования защиты, acceptance criteria и misuse/abuse cases.; Различает актив, угрозу, уязвимость, контроль, риск, evidence и остаточный риск в своём рабочем контексте.; Знает предел своих полномочий, обязательность авторизации и условия немедленной эскалации.
Threat modeling и security design reviewОбъясняет назначение компетенции «Threat modeling и security design review» и базовые понятия: активы, trust boundaries, угрозы, attack paths, mitigations и residual risk.; Различает актив, угрозу, уязвимость, контроль, риск, evidence и остаточный риск в своём рабочем контексте.; Знает предел своих полномочий, обязательность авторизации и условия немедленной эскалации.
Secure coding и code reviewОбъясняет назначение компетенции «Secure coding и code review» и базовые понятия: языковые и framework risks, defensive patterns, ручное review и developer guidance.; Различает актив, угрозу, уязвимость, контроль, риск, evidence и остаточный риск в своём рабочем контексте.; Знает предел своих полномочий, обязательность авторизации и условия немедленной эскалации.
Security testing в CI/CDОбъясняет назначение компетенции «Security testing в CI/CD» и базовые понятия: SAST, DAST, SCA, IaC/container scanning, quality gates и управление false positives.; Различает актив, угрозу, уязвимость, контроль, риск, evidence и остаточный риск в своём рабочем контексте.; Знает предел своих полномочий, обязательность авторизации и условия немедленной эскалации.
Identity, authorization и защита данныхОбъясняет назначение компетенции «Identity, authorization и защита данных» и базовые понятия: authentication, authorization, session, secrets, privacy и cryptographic boundaries.; Различает актив, угрозу, уязвимость, контроль, риск, evidence и остаточный риск в своём рабочем контексте.; Знает предел своих полномочий, обязательность авторизации и условия немедленной эскалации.
Software supply chain securityОбъясняет назначение компетенции «Software supply chain security» и базовые понятия: dependencies, SBOM, provenance, build isolation, signing и third-party components.; Различает актив, угрозу, уязвимость, контроль, риск, evidence и остаточный риск в своём рабочем контексте.; Знает предел своих полномочий, обязательность авторизации и условия немедленной эскалации.
Product vulnerability managementОбъясняет назначение компетенции «Product vulnerability management» и базовые понятия: intake, validation, risk rating, remediation, exception, disclosure и retest.; Различает актив, угрозу, уязвимость, контроль, риск, evidence и остаточный риск в своём рабочем контексте.; Знает предел своих полномочий, обязательность авторизации и условия немедленной эскалации.
AppSec program и developer enablementОбъясняет назначение компетенции «AppSec program и developer enablement» и базовые понятия: security champions, paved roads, metrics, training, backlog и feedback from production.; Различает актив, угрозу, уязвимость, контроль, риск, evidence и остаточный риск в своём рабочем контексте.; Знает предел своих полномочий, обязательность авторизации и условия немедленной эскалации.
Soft skills
Skill Passport — Автономность и глубина
Автономность и масштаб задачОписывает задачи, которые выполнял по чёткой постановке от старшего коллеги или тимлида — конкретные тикеты с готовой декомпозицией. Роль в рассказе — исполнитель отдельных задач; не называет случая, где сам отвечал за результат целой фичи или модуля, а не за один тикет внутри неё.
Глубина технических решенийОписывает ситуацию выбора, но воспроизводит готовое решение (предложенное старшим коллегой, документацией или очевидное по шаблону) — либо называет только один рассмотренный вариант без реального сравнения, либо не может объяснить, почему выбран именно он, а не альтернатива.