Cloud-Sicherheitsingenieur

YGO.ai ist eine VC-finanzierte KI-Tourismusplattform. Wir stellen einen Cloud-Sicherheitsingenieur ein, der für die Sicherheit unserer Cloud-Plattform, der APIs, auf denen unsere Unternehmenskunden laufen, und des Unternehmens selbst verantwortlich ist.

🛡️ Über diese Rolle. Die Rolle trägt zwei Dinge gleichzeitig. Du verantwortest die Sicherheitstechnik direkt und praktisch. Während wir wachsen, bauen Sie die Sicherheitsfunktion darauf auf. Bei YGO ist ein Pod-Leiter ein Gruppenleiter und Sprecher, nah an der Arbeit und dem Kunden, und kein Vollzeitmanager. Sie werden nicht aufhören, Ingenieur zu sein.
Die Arbeit ist breit gefächert. Möglicherweise überprüfen Sie morgens den Quellcode, untersuchen nach dem Mittagessen eine Endpunktwarnung und helfen am nächsten Tag bei der Entwicklung eines neuen Authentifizierungsablaufs. Sie identifizieren die Probleme mit dem höchsten Risiko, entscheiden, was zuerst passiert, und führen es aus.
Wir bedienen große Reiseunternehmen und haben Unternehmensverpflichtungen, die ab Anfang 2027 in Betrieb gehen. Sicherheit ist eine Voraussetzung für dieses Unternehmen und keine nachträglich hinzugefügte Ebene.

🧑‍💻 Was Sie besitzen werden

• Anwendungssicherheit. Praktische Überprüfung des Codes und der Architektur unserer APIs, Backend-Dienste und internen Tools. Gezielte Penetrationstests, um Probleme selbst zu validieren. Mit Ingenieuren an Ursachen und praktischen Lösungen arbeiten, anstatt Berichte zu übergeben. Schwachstellenmanagement und die von uns in Auftrag gegebenen externen Penetrationstests

• Erkennung und Reaktion. Wir wissen, dass wir angegriffen werden, während es passiert und was als nächstes passiert. Alarmierung, Einbrucherkennung, Vorfallprozess und Bereitschaftspfad

• Cloud- und Plattformhärtung. Zugriffskontrolle, Netzwerkgrenzen, Geheimnisverwaltung, Container und die Bereitstellungspipeline. Sicherheit durch den SDLC: CI/CD, Repositorys und Abhängigkeiten

• Die Sicherheit unserer APIs. Authentifizierung und Autorisierung, Mandantenisolierung, Token-Scoping und -Lebenszyklus, Missbrauchsprävention, Unternehmens-SSO und der Prüfpfad, auf den unsere Kunden und unsere eigene Verantwortung angewiesen sind

• Die Sicherheit unserer KI-Systeme. Prompt-Injection, Tool- und Agent-Berechtigungen, unser MCP-Server, Abruf und Datenaufnahme. An die Datenresidenzregeln sind wir vertraglich gebunden

• Identitäts- und Unternehmenssicherheit. SSO, MFA und privilegierter Zugriff für Mitarbeiter, Onboarding und Offboarding, Zugriffsüberprüfungen, MDM, Endpunktsicherheit und SaaS-Zugriff. Die praktische IT-Sicherheit, die ein Unternehmen unserer Größe braucht, muss erledigt und nicht diskutiert werden

• Sicheres Design über die Pods hinweg. Bedrohungsmodellierung und Designüberprüfung, die Ingenieure in die Lage versetzt, sie nicht zu behindern, und den Standard ihrer Lieferungen erhöht

• Die Sicherheitsfunktion selbst. Legen Sie die Prioritäten und den Fahrplan anhand des tatsächlichen Risikos fest, nicht anhand des Sicherheitsaspekts. Entscheiden Sie, was wir bauen, kaufen, automatisieren oder für später aufheben. Erweitern Sie das Team und stellen Sie neue Mitarbeiter ein, bieten Sie Unternehmenskunden Sicherheit und führen Sie unser SOC 2-Programm auf Drata durch. Compliance gehört zum Job und steht nicht im Mittelpunkt

🚢 Was du sicherst

• Eine KI-Such- und Empfehlungsmaschine für große Reiseunternehmen: Unternehmensintegration, SSO, Client-Sicherheitsüberprüfungen, GDS-Integrationen

• Eine API zur Inhaltsanreicherung, die als SaaS verkauft wird: hochskaliert, öffentlich zugänglich, daten- und KI-intensiv

• Die Plattform darunter: eine Client-Konsole mit Organisationen, Projekten und API-Tokens, Lieferanten- und Geschäftskunden-Integrationen, Datenerfassung, ein MCP-Server und mehrere LLM-Anbieter hinter einer einzigen internen Bibliothek

📚 Unser Stack

• Backend: Go Monorepo (kein Framework, 3+ Dienste)

• Daten: PostgreSQL, Redis, Redis Asynq-Warteschlange

• Hosting: PaaS-verwaltete Container, Cloudflare im Vordergrund

• Beobachtbarkeit: Jaeger-Tracing, BetterStack für Protokollierung, Alarmierung und Bereitschaftsdienst

• Compliance: Drata, SOC 2 in Bearbeitung

• KI-Tools: Claude Code, wird im gesamten Team verwendet

✅ Das musst du haben

• Mehr als 5 Jahre praktische Sicherheitsarbeit in mehr als einer Disziplin. Keine fünf Jahre Ingenieursarbeit mit etwas Sicherheit darin. Diese Rolle setzt den Standard für das Unternehmen und braucht daher jemanden, der genug gesehen hat, um ein Urteil statt eine Meinung zu haben

• Tiefe der Anwendungssicherheit. Sie wissen, wie moderne Webanwendungen und APIs angegriffen werden. Sie können ein Problem selbst durch Codeüberprüfung oder einen gezielten Penetrationstest validieren und gemeinsam mit dem Techniker an der Lösung arbeiten

• Ein ausgeprägtes Verständnis für Authentifizierung und Autorisierung. OAuth und OIDC, Sitzungen, Token-Handling, Zugriffskontrolle und die Fehlermodi hinter den meisten API-Verstößen

• Cloud-Sicherheitsgrundlagen, richtig. Identitäts-, Netzwerk-, Workload- und Pipeline-Sicherheit auf einer modernen Cloud-Plattform, angewendet auf Produktionssysteme, für die Sie verantwortlich waren

• Defensiverfahrung neben der Offensive. Sie haben reale Vorfälle untersucht. Sie haben die Erkennung und Alarmierung, die sie erkennt, entwickelt oder verbessert

• Bedrohungsmodellierung und sichere Architektur für Cloud-, Container- und API-Systeme

• Ein technischer Hintergrund. Sie fühlen sich in einer Codebasis wohl, können überprüfen, was unsere Ingenieure und unsere KI-Tools produzieren, und Sie können selbst erstellen, was Sie benötigen. Unser Backend ist Go. Vorherige Go-Erfahrung ist ein Plus und keine Voraussetzung

• Komfort in ressourcenbeschränkten Umgebungen. Startups, kleine Sicherheitsteams oder Beratungsunternehmen haben Ihnen beigebracht, Risiken, geschäftliche Auswirkungen und verfügbare Ressourcen zu priorisieren und selbst umzusetzen

• Der Wunsch, ein Team aufzubauen. Sie möchten diese Funktion ausbauen und schließlich leiten. Vorherige Führungserfahrung ist ein Plus und keine Voraussetzung. Wir möchten lieber Tiefe haben und die Führung weiterentwickeln, als umgekehrt

• Arbeitskompetenz mit Claude Code. Teilen Sie konkrete Beispiele

• Beurteilung des Tempos. Sie sichern sich ein Unternehmen, das täglich versendet, ohne zum Grund dafür zu werden, dass es aufhört. Leitplanken über Toren

• Erfahrung mit SOC 2, ISO 27001 oder anspruchsvollen Unternehmenssicherheitsüberprüfungen

• Ausgezeichnetes Englisch in Wort und Schrift. Sie sprechen oft in derselben Woche mit Prüfern, Kundensicherheitsteams und unseren eigenen Ingenieuren

• ⚠️ Europäische oder afrikanische Zeitzonen (±3 Stunden ab MEZ)

• Vollzeit verfügbar (40 Stunden pro Woche)

🌟 Schön zu haben…

Quelle: Arbeitnow (https://www.arbeitnow.com/jobs/companies/ygo/remote-cloud-security-engineer-291881)