Leitender Ingenieur für Anwendungssicherheit

Apollo.io ist die führende Go-to-Market-Lösung für Umsatzteams, der über 500.000 Unternehmen und Millionen von Benutzern weltweit vertrauen, von schnell wachsenden Startups bis hin zu einigen der größten Unternehmen der Welt. Das 2015 gegründete Unternehmen ist eines der am schnellsten wachsenden Unternehmen im SaaS-Bereich und hat bisher rund 250 Millionen US-Dollar eingesammelt, was einem Wert von 1,6 Milliarden US-Dollar entspricht. Apollo.io bietet Vertriebs- und Marketingteams einfachen Zugriff auf verifizierte Kontaktdaten von über 210 Millionen B2B-Kontakten und 35 Millionen Unternehmen weltweit sowie Tools zur Einbindung und Konvertierung dieser Kontakte auf einer einheitlichen Plattform. Indem Apollo.io Umsatzprofis dabei hilft, die genauesten Kontaktinformationen zu finden und den Outreach-Prozess zu automatisieren, verwandelt es Interessenten in Kunden. Apollo hat im Jahr 2023 eine Serie D aufgelegt und wird von erstklassigen Investoren unterstützt, darunter Sequoia Capital, Bain Capital Ventures und mehr, und zählt den ehemaligen Präsidenten und COO von Hubspot, JD Sherman, zu seinen Vorstandsmitgliedern.

Rollenübersicht

Der Senior Application Security Engineer ist ein leitender Einzelmitarbeiter, der für die Stärkung des sicheren Softwareentwicklungslebenszyklus von Apollo und die Reduzierung des Anwendungsrisikos für Produkte, Plattformen und KI-gestützte Funktionen verantwortlich ist.

Diese Rolle verbindet tiefgreifende Anwendungssicherheitsarbeit auf Codeebene mit einer starken funktionsübergreifenden Partnerschaft. Es umfasst Anwendungssicherheitsüberprüfungen, Bedrohungsmodellierung, AppSec-Tools, Ergebnistriage und Nachverfolgung von Abhilfemaßnahmen, Aufnahme externer Tests und Entwickleraktivierung.

Diese Rolle ist auf der L6-Senior-IC-Ebene kalibriert: Sie sind für halbjährliche oder jährliche Ziele verantwortlich, lösen unklare Probleme mit gesundem Urteilsvermögen, verbessern betriebliche Prozesse und fördern eine sinnvolle teamübergreifende Zusammenarbeit und Einflussnahme.

Hauptaufgaben

Sicheres SDLC, Designprüfung und Bedrohungsmodellierung

• Besitzen und verbessern Sie kontinuierlich den sicheren Softwareentwicklungslebenszyklus für Apollo-Anwendungen, sodass Sicherheit in Design, Implementierung und Bereitstellung integriert ist.

• Führen Sie vor der Einführung Anwendungssicherheitsüberprüfungen, Bedrohungsmodellierung und umfassende Analysen auf Codeebene für wirkungsvolle Produkt-, Plattform- und KI-Funktionen durch.

• Bereitstellung praktischer Anleitungen zur Sicherheitsarchitektur für Technik-, Produkt- und IT-Teams

• Helfen Sie bei der Definition und Aufrechterhaltung von Anwendungssicherheitsleitplanken, sicheren Designerwartungen, Codeüberprüfungsstandards und Risikomodellen für neue und bestehende Systeme.

Schwachstellenmanagement und praktische Behebung

• Fördern Sie das ausführungsintensive Schwachstellenmanagement über interne Überprüfungen, Bug-Bounty-Tests, Pentests, SCA-/Laufzeitergebnisse und andere Forschungssignale und stellen Sie sicher, dass die Ergebnisse validiert, priorisiert, klar weitergeleitet und durch Behebung und Überprüfung innerhalb von SLAs verfolgt werden.

• Gehen Sie über die Identifizierung von Problemen hinaus: Lesen Sie den Code, erklären Sie die Grundursache, schlagen Sie die sicherste Lösung vor und implementieren oder unterstützen Sie bei Bedarf direkt die Behebung komplexer Schwachstellen.

• Führen Sie praktische Validierungen und offensive Sicherheitstests von Anwendungen und Fixes durch, einschließlich Exploit-Entwicklung, Bypass-Tests, kontradiktorischem Denken und gezielten Red-Team-Übungen, um zu bestätigen, dass Abhilfemaßnahmen das zugrunde liegende Problem und nicht nur das anfängliche Symptom angehen.

• Arbeiten Sie an den Arten von Anwendungssicherheitsproblemen, die in modernen SaaS-Umgebungen häufig vorkommen, einschließlich Authentifizierungs- und Autorisierungsschwächen, Zugriffskontrollrisiken, OAuth- und CSRF-Designfehlern, SSRF, kryptografischen und Verifizierungsproblemen, Risiken bei der Offenlegung von Informationen und der Offenlegung von Daten, unsicheren Ausführungs- und Deserialisierungsmustern sowie Abhängigkeits- oder Laufzeitschwachstellen.

• Treffen Sie klare, risikobasierte Schweregradentscheidungen unter Berücksichtigung von Ausnutzbarkeit, Datensensibilität, Auswirkungen auf den Kunden und Explosionsradius

Werkzeuge, Automatisierung und KI

• Konfigurieren und verbessern Sie AppSec-Tools und -Integrationen, einschließlich SAST-Konfiguration, Ignorierlisten, Dashboards und anderen Kontrollen, die eine nützliche Abdeckung ohne übermäßiges Rauschen aufrechterhalten.

• Wählen, erstellen oder verfeinern Sie Sicherheitstools, kleine Automatisierungen und Workflow-Anreicherungen, die den manuellen Aufwand reduzieren und AppSec-Vorgänge verantwortungsbewusst skalieren.

• Nutzen Sie KI, um Sicherheits- und techniknahe Prozesse zu automatisieren, zu transformieren und zu skalieren, wo sie die Geschwindigkeit, Konsistenz oder Signalqualität wesentlich verbessert und gleichzeitig die Ergebnisse mit starkem technischem Urteilsvermögen validiert.

• Integrieren Sie KI-spezifische Sicherheitsprüfungen in SSDLC-Überprüfungen und Code-Analysen, einschließlich Eingabe- und Ausgabeverarbeitung, KI-exponierte APIs, Eingabeaufforderungs- und Antwortleitplanken sowie Missbrauchs- oder Datenexfiltrationspfade.

• Arbeiten Sie funktionsübergreifend an KI-Sicherheitsanforderungen und -kontrollen zusammen, damit KI-Systeme und KI-gestützte Funktionen sicher entworfen, bereitgestellt und betrieben werden.

Technische Unterstützung und Partnerschaft

• Unterstützen und skalieren Sie die Sicherheitsaktivierung für Ingenieure und Sicherheitsexperten, einschließlich sicherer Codierung, AppSec und KI-Sicherheitsinhalten.

• Bereitstellung umsetzbarer Anleitungen zur Behebung, sicherer Muster und Beispiele, die Technikteams dabei helfen, Probleme schnell und korrekt zu beheben.

• Arbeiten Sie eng mit Technik-, Produkt-, Plattform-, Daten-, Rechts- und anderen Sicherheitsteams zusammen, um die AppSec-Prioritäten mit dem Geschäftsrisiko und der Produktgeschwindigkeit in Einklang zu bringen.

• Erstellen Sie klare Dokumentationen, Metriken und schriftliche Berichte, die die Sichtbarkeit, Beobachtbarkeit und Entscheidungsfindung von AppSec verbessern.

Wie gut aussieht

• Besitzt sinnvolle AppSec-Ziele über einen halbjährlichen oder jährlichen Horizont und identifiziert unabhängig die richtigen Lösungen für mehrdeutige, offene Probleme.

• Fördert teamübergreifende Zusammenarbeit und betriebliche Verbesserungen über isolierte Tickets oder einmalige Überprüfungen hinaus

• Trifft fundierte Entscheidungen, indem er technische Details, Geschäftskontext, Kundenvertrauen und langfristiges Risiko abwägt

• Legt hohe Maßstäbe für Eigenverantwortung, Kommunikation, Mentoring und technisches Urteilsvermögen und trägt dazu bei, die Effektivität von Kollegen und Partnerteams zu steigern.

Erforderliche Fähigkeiten und Erfahrung…

Quelle: Jobicy (https://jobicy.com/jobs/152253-senior-application-security-engineer-2)