Tester di penetrazione interno per la sicurezza informatica

Descrizione del lavoro

Il Penetration Tester interno per la sicurezza informatica sarà responsabile dell'esecuzione di test di penetrazione interni sull'infrastruttura, sulle applicazioni e sui controlli della banca. Questo ruolo combina l'esperienza tecnica pratica nell'esecuzione di test di penetrazione e simulazioni di attacchi reali agli ambienti aziendali con una stretta collaborazione con i team di sicurezza, IT, sviluppo e rischio, al fine di identificare, sfruttare e risolvere in modo proattivo le vulnerabilità nei sistemi bancari critici.

Compiti

• Pianificazione, definizione dell'ambito e esecuzione di test di penetrazione interni su piattaforme bancarie centrali e applicazioni aziendali, con particolare attenzione ai servizi che supportano funzioni critiche e fondamentali.
• Sviluppo di scenari di test basati su modelli realistici di minacce bancarie (frodi, esfiltrazione di dati, escalation dei privilegi, movimenti laterali verso sistemi critici, ecc.).
• Esecuzione di test pratici su reti interne, server, dispositivi finali, applicazioni web, API, ambienti di lavoro cloud, Active Directory e altri sistemi infrastrutturali fondamentali.
• Documentazione dei risultati in rapporti chiari e basati sul rischio, corredati di prove e istruzioni pratiche per la risoluzione dei problemi, destinati a un pubblico sia tecnico che non tecnico.
• Stretta collaborazione con i team responsabili delle infrastrutture, dello sviluppo, dei DevOps e della gestione dei rischi per supportare i piani di risoluzione e i test di verifica, al fine di garantire che i risultati critici vengano monitorati e portati a termine nell'ambito dei processi LCT e di governance.
• Sviluppo e manutenzione di metodi di test interni, playbook e strumenti a supporto di valutazioni ripetibili ed efficienti.
• Collaborazione con il SOC o con team di test a chiamata per implementare e migliorare le capacità di rilevamento e risposta.
• Rimanere aggiornati su nuove minacce, vulnerabilità, TTP ecc. e integrarle nei test interni.

Requisiti

• Esperienza nel campo della sicurezza informatica, dell'informatica o in settori affini.
• 3-5 anni di esperienza pratica in test di penetrazione o attività di red team, con comprovata esperienza su reti interne, applicazioni web e API; un background in sicurezza sia offensiva che difensiva costituisce un forte vantaggio.
• Ottima conoscenza dei protocolli di rete, dei sistemi operativi (Windows, Linux) e delle tecnologie web e cloud; la familiarità con le architetture bancarie di base costituisce un vantaggio.
• Padronanza degli strumenti e delle tecniche offensive più comuni (ad es. Burp Suite, Metasploit, framework simili a Cobalt Strike, strumenti basati su Kali) e capacità di eseguire test manuali al di là dell'utilizzo degli strumenti.
• Solida conoscenza dei principi di codifica sicura e delle vulnerabilità più comuni nelle applicazioni (ad es. OWASP Top 10) ai fini della valutazione di obiettivi web e API.
• Certificazioni professionali quali OSCP, GCP o simili certificazioni di sicurezza offensiva in regola.
• Ottime capacità comunicative e capacità di spiegare risultati tecnici complessi a un pubblico sia tecnico che non tecnico.

Offriamo

• Un ambiente favorevole, in cui i vostri contributi vengono apprezzati e riconosciuti.
• Un ambiente di lavoro dinamico che offre opportunità di miglioramento continuo.