Собеседование инженера по информационной безопасности:
вопросы и ответы.

Определите активы, акторов, границы доверия и потоки данных, затем системно ищите угрозы и выбирайте контроли по риску. Модель угроз — разговор о решениях, а не разовый список STRIDE-слов.

Свяжите категории с конкретным кодом и архитектурой: broken access control, injection, auth, misconfiguration. Назовите предотвращение, автоматическую проверку и ручную валидацию, не перечисляйте только названия.

Опишите подготовку, обнаружение, triage, ограничение воздействия, сбор доказательств, устранение, восстановление и postmortem. Приоритет — безопасность людей и данных, сохранение фактов и понятная коммуникация.

Аутентификация подтверждает субъект, авторизация решает, разрешено ли действие над ресурсом. Проверка прав должна быть на сервере и учитывать tenant, объект, роль и контекст.

Секреты не попадают в репозиторий и логи, выдаются через secret manager с минимальными правами и аудитом. Ротация должна быть проверяемым процессом с перекрытием ключей и планом для аварийной замены.

CVSS — входной сигнал, но нужны эксплуатируемость, доступность актива, exposure, компенсирующие контроли и ценность системы. Итог — владелец, SLA исправления и проверка закрытия.

Добавьте проверку зависимостей, секретов, SAST и политики образов с управляемыми исключениями. Автоматизация помогает, но не заменяет threat modeling, review и исправление причины повторяющихся находок.

Логи должны помогать расследованию, но не содержать пароли, токены и лишние персональные данные. Нужны структура, неизменяемость или защита доступа, retention и связующие идентификаторы.

Тестируйте positive и negative сценарии на уровне каждого ресурса: смена пользователя, роли, tenant и прямой ID. Не доверяйте только скрытию кнопки в UI или информации из JWT без серверной проверки.

Покажите риск, варианты, владельцев решения, временный контроль и план устранения долга. Сильный ответ не требует нулевого риска, но делает остаточный риск явным и управляемым.