Mitarbeiter eines Anwendungssicherheitsingenieurs

Apollo .io ist die führende Go-to-Market-Lösung für Umsatzteams, der über 500.000 Unternehmen und Millionen von Benutzern weltweit vertrauen, von schnell wachsenden Startups bis hin zu einigen der größten Unternehmen der Welt. Das 2015 gegründete Unternehmen ist eines der am schnellsten wachsenden Unternehmen im SaaS-Bereich und hat bisher rund 250 Millionen US-Dollar eingesammelt, was einem Wert von 1,6 Milliarden US-Dollar entspricht. Apollo .io bietet Vertriebs- und Marketingteams einfachen Zugriff auf verifizierte Kontaktdaten von über 210 Millionen B2B-Kontakten und 35 Millionen Unternehmen weltweit sowie Tools zur Einbindung und Konvertierung dieser Kontakte auf einer einheitlichen Plattform. Indem Apollo .io Umsatzprofis dabei hilft, die genauesten Kontaktinformationen zu finden und den Outreach-Prozess zu automatisieren, verwandelt es Interessenten in Kunden. Apollo hat im Jahr 2023 eine Serie D aufgelegt und wird von erstklassigen Investoren unterstützt, darunter Sequoia Capital, Bain Capital Ventures und mehr, und zählt den ehemaligen Präsidenten und COO von Hubspot, JD Sherman, zu seinen Vorstandsmitgliedern.

Rollenübersicht
Der Staff Application Security Engineer leitet die Anwendungssicherheitsstrategie für die Sicherheitsabteilung von Apollo und setzt diese durch praktische Arbeit und technische Führung um. Diese Rolle übernimmt die schwierigsten AppSec-Probleme bei Produkten, Plattformen und KI-gestützten Funktionen, einschließlich Problemen ohne etabliertes Playbook.
Die Rolle prägt die Roadmaps von Engineering-, Produkt- und Plattformteams, sodass sichere Muster zum Standard werden, und legt den AppSec-Standard fest, der vielen Teams hilft, sicher aufzubauen, ohne sich auf eine einzelne Person zu verlassen.
Hauptaufgaben
AppSec-Strategie, -Standards und -Einfluss

• Leiten Sie die mehrjährige AppSec-Strategie von Apollo und setzen Sie sie in vierteljährliche, teamübergreifende Initiativen um, die die KRs der Sicherheitsabteilung bewegen. Melden Sie der Sicherheitsleitung in regelmäßigen Abständen Fortschritte, Risiken und Kompromisse.

• Gestalten Sie Engineering-, Produkt-, Plattform- und Daten-Roadmaps so, dass Sicherheitsarbeiten frühzeitig geplant werden, und berücksichtigen Sie AppSec bei abteilungsübergreifenden Entscheidungen.

• Legen Sie die Standards für sicheres Design, Codeüberprüfung und Risikomodell fest, die in der gesamten Abteilung und angrenzenden Entwicklungsteams verwendet werden, einschließlich der Erwartungen an KI- und Agenten-generierten Code.

• Betreuen Sie leitende Ingenieure und Sicherheitsexperten, bauen Sie das Champions-Programm aus und tragen Sie dazu bei, die Einstellungsmesslatte höher zu legen, sodass das AppSec-Programm nicht von der Fachkompetenz einer einzelnen Person abhängt.

Sichere Architektur und Schwachstellentiefe

• Führen Sie Überprüfungen der Sicherheitsarchitektur und Bedrohungsmodellierung für mehrdeutige, groß angelegte Systeme mit mehreren Teams, einschließlich KI- und Agentenfunktionen, durch und definieren Sie den Ansatz, wenn es keinen Präzedenzfall gibt.

• Entwerfen und fördern Sie die Einführung standardmäßig sicherer Bausteine ​​wie gemeinsame Autorisierung, sicheres OAuth- und Token-Handling und SSRF-sichere HTTP-Clients, sodass keine ganzen Problemklassen mehr auftreten.

• Gestalten Sie das Schwachstellenmanagement über interne Überprüfungen, Bug Bounty, Pentests sowie SCA- und Laufzeitergebnisse mit einem Fokus auf Grundursachen, Fehlerklassen und klaren risikobasierten Entscheidungen über den Schweregrad.

• Bleiben Sie bei den schwierigsten Fällen praxisnah: Lesen Sie Code teamübergreifend, entwickeln Sie Exploits, testen Sie Umgehungen und führen Sie teamübergreifende Variantenanalysen und stufenweise Korrekturen durch.

Werkzeuge, Automatisierung und KI (standardmäßig KI-nativ)

• Setzen Sie den Standard für KI-gestützte AppSec in der Abteilung. Nutzen Sie KI und Agenten für die Codeüberprüfung, Bedrohungsmodellierung, Triage und Behebung und bauen Sie eine Automatisierung auf, die von Teams außerhalb der Sicherheit übernommen wird, mit messbaren Zuwächsen bei Geschwindigkeit, Abdeckung und Signalqualität.

• Definieren Sie, wie Apollo seine KI-Systeme und Agentenfunktionen sichert, einschließlich Eingabe- und Ausgabeverarbeitung, KI-exponierte APIs, Eingabeaufforderungs- und Antwortleitplanken, Toolberechtigungen und Datenexfiltrationspfade.

Wie gut aussieht (aus den Abschnitten „Mission“ und „Erfolg“)

• Verfügt über eine mehrjährige AppSec-Strategie und bindet sie in die Roadmaps anderer Teams ein.

• Löst mehrdeutige Probleme, bei denen es sich nicht um ein Playbook handelt, und definiert den Ansatz, dem andere folgen sollen.

• Trifft harte Risikoentscheidungen bei Unklarheiten und gleicht technische und nichttechnische Führungskräfte ohne formelle Autorität aus.

• Baut Leitplanken, Standards und Personen auf, damit AppSec über eine einzelne Person hinaus skaliert werden kann.

Erforderliche Fähigkeiten und Erfahrung

• Eine Erfolgsbilanz bei der Leitung von AppSec-Strategien, die die Art und Weise, wie mehrere Entwicklungsteams arbeiten, verändert hat, mit messbaren Ergebnissen, in der Regel gestützt auf mehr als 10 Jahre Erfahrung in der Softwareentwicklung oder Anwendungssicherheit.

• Codeüberprüfung durch Experten, Penetrationstests und Exploit-Entwicklungsfähigkeiten mit der Fähigkeit, Designfehler in unbekannten Codebasen und Landkorrekturen zu finden, die Umgehungsversuchen standhalten.

• Starke Fähigkeiten in der Softwareentwicklung und die Fähigkeit, Produktionscode auszuliefern. Ruby- und Ruby on Rails-Erfahrung ist sehr wertvoll und Python ist ein Plus. Starke Linux- und Cloud-Grundlagen, idealerweise GCP und Kubernetes.

• Umfangreiche Erfahrung mit sicherer Architektur und Authentifizierungs- und Autorisierungsmustern sowie mit dem Aufbau von Sicherheitsbausteinen, die andere Teams übernehmen.

• Praktische Erfahrung beim Sichern von KI-gestützten Systemen oder Agentenfunktionen und eine klare Sichtweise darüber, wie KI die Anwendungssicherheit verändert.

• Das Urteilsvermögen, bei Unklarheiten harte Risikoentscheidungen zu treffen, und der Einfluss, technische und nichttechnische Führungskräfte ohne formelle Autorität aufeinander abzustimmen.

Bevorzugte Qualifikationen

• Erleben Sie führende Sicherheit für KI-native Produkte, interne Agenten oder KI-gestützte Engineering-Workflows in großem Maßstab.

• Erfahrung beim Aufbau oder der Skalierung eines Security-Champions- oder Developer-Enablement-Programms.

• Öffentliche Sicherheitsarbeit, wie CVEs, Forschung, Vorträge oder Open-Source-Tools oder Zertifizierungen wie OSCP oder OSWE.

Beispielhafte Erfolgsergebnisse

• Eine AppSec-Strategie, die an die KRs der Sicherheitsabteilung gebunden ist, mit unterstützender Arbeit in den Roadmaps anderer Teams.

• Ein messbarer Rückgang der Schwachstellenklassen mit hohem Risiko, unterstützt durch gemeinsame Leitplanken oder Bibliotheken.

• KI-gestützte AppSec-Workflows, die von Teams außerhalb der Sicherheit übernommen werden, mit deutlichen Geschwindigkeits- oder Signalqualitätsgewinnen.…

Quelle: Himalaya (https://himalayas.app/companies/apollo/jobs/staff-application-security-engineer)