Ingeniero sénior de seguridad de aplicaciones

Apollo.io es la solución líder de comercialización para equipos de ingresos, en la que confían más de 500.000 empresas y millones de usuarios en todo el mundo, desde empresas emergentes de rápido crecimiento hasta algunas de las empresas más grandes del mundo. Fundada en 2015, la empresa es una de las de más rápido crecimiento en SaaS, ha recaudado aproximadamente 250 millones de dólares hasta la fecha y está valorada en 1.600 millones de dólares. Apollo.io brinda a los equipos de ventas y marketing fácil acceso a datos de contactos verificados para más de 210 millones de contactos B2B y 35 millones de empresas en todo el mundo, junto con herramientas para involucrar y convertir estos contactos en una plataforma unificada. Al ayudar a los profesionales de ingresos a encontrar la información de contacto más precisa y automatizar el proceso de divulgación, Apollo.io convierte a los clientes potenciales en clientes. Apollo recaudó una serie D en 2023 y cuenta con el respaldo de inversores de primer nivel, incluidos Sequoia Capital, Bain Capital Ventures y más, y cuenta con el ex presidente y director de operaciones de Hubspot, JD Sherman, entre los miembros de su junta directiva.

Descripción general de funciones

El ingeniero senior de seguridad de aplicaciones es un colaborador individual senior responsable de fortalecer el ciclo de vida de desarrollo de software seguro de Apollo y reducir el riesgo de las aplicaciones en todos los productos, plataformas y funciones impulsadas por IA.

Esta función combina un trabajo profundo en seguridad de aplicaciones a nivel de código con una sólida asociación multifuncional. Incluye revisiones de seguridad de aplicaciones, modelado de amenazas, herramientas de AppSec, clasificación de hallazgos y seguimiento de remediación, admisión de pruebas externas y habilitación de desarrolladores.

Este rol está calibrado en el nivel senior-IC L6: poseer objetivos semestrales o anuales, resolver problemas ambiguos con buen criterio, mejorar los procesos operativos e impulsar una colaboración e influencia significativas entre equipos.

Responsabilidades clave

SDLC seguro, revisión de diseño y modelado de amenazas

• Poseer y mejorar continuamente el ciclo de vida de desarrollo de software seguro para las aplicaciones Apollo de modo que la seguridad esté integrada en el diseño, la implementación y el despliegue.

• Realice revisiones de seguridad de aplicaciones, modelado de amenazas y análisis profundos a nivel de código para características de IA, plataformas y productos de alto impacto antes del lanzamiento.

• Proporcionar orientación práctica sobre arquitectura de seguridad a los equipos de ingeniería, productos y TI.

• Ayudar a definir y mantener barreras de seguridad de aplicaciones, expectativas de diseño seguras, estándares de revisión de código y modelos de riesgo para sistemas nuevos y existentes.

Gestión de vulnerabilidades y remediación práctica

• Impulsar la gestión de vulnerabilidades de alta ejecución a través de revisiones internas, recompensas de errores, pentests, hallazgos de SCA/tiempo de ejecución y otras señales de investigación, garantizando que los hallazgos se validen, prioricen, dirijan claramente y se realicen un seguimiento a través de la corrección y verificación dentro de los SLA.

• Vaya más allá de identificar problemas: lea el código, explique la causa raíz, proponga la solución más segura e implemente o respalde directamente la corrección cuando sea necesario para vulnerabilidades complejas.

• Realizar validación práctica y pruebas de seguridad ofensivas de aplicaciones y correcciones, incluido el desarrollo de exploits, pruebas de omisión, pensamiento contradictorio y ejercicios enfocados al estilo del equipo rojo, para confirmar que las soluciones abordan el problema subyacente y no solo el síntoma inicial.

• Trabajar en los tipos de problemas de seguridad de aplicaciones comunes en los entornos SaaS modernos, incluidas las debilidades de autenticación y autorización, riesgos de control de acceso, fallas de diseño de OAuth y CSRF, SSRF, problemas criptográficos y de verificación, riesgos de divulgación de información y exposición de datos, patrones de ejecución y deserialización inseguros, y vulnerabilidades de dependencia o tiempo de ejecución.

• Aplique decisiones de gravedad claras y basadas en el riesgo utilizando la explotabilidad, la sensibilidad de los datos, el impacto en el cliente y el radio de explosión.

Herramientas, automatización e inteligencia artificial

• Configurar y mejorar las herramientas e integraciones de AppSec, incluida la configuración SAST, listas de ignorados, paneles y otros controles que mantienen una cobertura útil sin ruido excesivo.

• Seleccionar, crear o perfeccionar herramientas de seguridad, pequeñas automatizaciones y enriquecimientos de flujo de trabajo que reduzcan el esfuerzo manual y escale las operaciones de AppSec de manera responsable.

• Utilice la IA para automatizar, transformar y escalar procesos de seguridad e ingeniería adyacentes donde mejore materialmente la velocidad, la coherencia o la calidad de la señal, al mismo tiempo que valida los resultados con un sólido criterio de ingeniería.

• Incorpore controles de seguridad específicos de IA en revisiones de SSDLC y análisis de código, incluido el manejo de entrada y salida, API expuestas a IA, barreras de seguridad de avisos y respuestas, y rutas de abuso o filtración de datos.

• Asociarse de manera interdisciplinaria en los requisitos y controles de seguridad de la IA para que los sistemas y las funciones impulsadas por la IA se diseñen, implementen y operen de forma segura.

Habilitación y asociación de ingeniería

• Respaldar y escalar la habilitación de seguridad para ingenieros y defensores de la seguridad, incluida codificación segura, AppSec y contenido de seguridad de IA.

• Proporcionar orientación de solución práctica, patrones seguros y ejemplos que ayuden a los equipos de ingeniería a solucionar problemas de forma rápida y correcta.

• Asóciese estrechamente con equipos de ingeniería, productos, plataformas, datos, asuntos legales y otros equipos de seguridad para mantener las prioridades de AppSec alineadas con el riesgo empresarial y la velocidad del producto.

• Producir documentación, métricas y narrativas escritas claras que mejoren la visibilidad, la observabilidad y la toma de decisiones de AppSec.

lo bueno que parece

• Posee objetivos significativos de AppSec en un horizonte semestral o anual e identifica de forma independiente las soluciones adecuadas para problemas ambiguos y abiertos.

• Impulsa la colaboración entre equipos y mejoras operativas más allá de tickets aislados o revisiones únicas

• Toma decisiones informadas equilibrando los detalles técnicos, el contexto empresarial, la confianza del cliente y el riesgo a largo plazo.

• Establece un alto nivel de propiedad, comunicación, tutoría y criterio técnico, y ayuda a aumentar la eficacia de los pares y equipos de socios.

Habilidades y experiencia requeridas...

Fuente: Jobicy (https://jobicy.com/jobs/152253-senior-application-security-engineer-2)