Ingeniero de seguridad sénior

Buscamos un ingeniero de seguridad senior que se encargue de cómo Ghost encuentra, soluciona y previene problemas de seguridad.

¡Hola! Estamos buscando un nuevo miembro para unirse al equipo de Ghost, ¿quizás seas tú?

Somos una organización sin fines de lucro con la misión de crear tecnología editorial moderna e independiente para impulsar el futuro del periodismo en línea.

Esto no es un cohete. No encontrará ningún brillo de unicornio ni curvas exponenciales por aquí, solo una empresa real con un negocio sostenible que ha sido rentable desde el año 1 y ha ido creciendo de manera saludable desde entonces. Actualmente nuestros ingresos anuales son de $10,000,000+. Somos muy transparentes sobre nuestra misión y nuestras métricas, puedes leer todo sobre nosotros.

Ghost es una aplicación web completa para ejecutar publicaciones independientes. Es uno de los proyectos modernos de código abierto más populares del mundo y decenas de miles de sitios web y empresas lo utilizan en producción.

¡Es probable que ya hayas visitado y leído sitios que se ejecutan en Ghost! Nuestros usuarios van desde publicaciones de renombre como 404 Media, Platformer, Tangle News, hasta destacadas empresas de tecnología como YCombinator, First Round Review, Cloudflare y Kickstarter, y muchas, muchas más.

Seguridad para un equipo pequeño con una audiencia muy grande

Ghost ejecuta decenas de miles de publicaciones y el código que las ejecuta es de código abierto. Cualquiera puede leerlo, y mucha gente lo hace: investigadores, aficionados y, cada vez más, herramientas de inteligencia artificial que apuntan a nuestro repositorio. Eso es algo bueno. También significa un flujo constante de informes de seguridad que llegan cada mes.

Hasta ahora, ese trabajo se ha compartido en todo nuestro equipo. Ha funcionado, pero la seguridad en Ghost merece un dueño: una persona que tenga el panorama completo, desde el primer correo electrónico que envía un investigador hasta el aviso que publicamos, y que use lo que ve en la cola para hacer que sea menos probable que exista la siguiente clase de error.

Ghost siempre ha creído en ser intencionalmente pequeño, alrededor de 50 personas. Por eso no esperamos construir un departamento de seguridad. En lugar de eso, queremos un ingeniero senior que piense en la seguridad de manera sistémica, que trate la cola de informes como una fuente de señales sobre nuestro código, nuestras herramientas y nuestros hábitos, y que cambie esas cosas en lugar de simplemente limpiar la cola.

Te unirás a nuestro equipo de plataforma y trabajarás en estrecha colaboración con los ingenieros que construyen y envían Ghost todos los días. También será la persona con la que habla nuestra comunidad de investigadores y la persona a la que el resto del equipo pregunta cuando no están seguros de si algo es seguro.

Seis meses después, esperamos que cada informe obtenga una primera respuesta real dentro de una semana, que no quede nada sin resolver y que se ejecute al menos una verificación de seguridad automatizada en cada solicitud de extracción.

¿Qué estarás haciendo?

Poseer el ciclo de vida de la divulgación. Cada informe de seguridad enviado a Ghost llega contigo. Lo clasificarás, lo reproducirás, decidirás si es real y hablarás con el investigador que lo envió. Escribirá y publicará nuestros avisos y mantendrá la política y las páginas que indican a los investigadores cómo trabajar con nosotros.

Arreglar cosas en el código base. Cuando un informe es real, lo arreglas. Eso significa escribir el parche usted mismo en el código base Node.js/TypeScript de Ghost, revisarlo y guiarlo hasta su lanzamiento.

Cambie la seguridad a la izquierda. Una parte cada vez mayor del código en Ghost se escribe con agentes de inteligencia artificial, y las solicitudes de extracción son más grandes y llegan más rápido que antes. Diseñará las comprobaciones que permitan que esto se mantenga rápido sin convertirse en una responsabilidad: escaneo de seguridad que se ejecuta en cada PR, pasos de revisión que detectan las clases de errores que realmente vemos y modelado de amenazas para las grandes apuestas arquitectónicas mientras aún están en la pizarra.

Utilice IA en el propio proceso de seguridad. Triaje, reproducción, clasificación de primer paso, redacción de asesoramiento: creará herramientas que le quitarán las partes repetitivas y le dejarán a usted el criterio.

Enseñar al equipo. La mejor solución es aquella que nadie tiene que escribir. Convertirá lo que aprenda de la cola en orientación, ejemplos y sesiones breves para nuestros ingenieros, para que la misma categoría de error no vuelva a aparecer. Revisarás el aspecto de seguridad de las nuevas funciones antes de su lanzamiento y ayudarás al resto del equipo a hacerlo por sí mismos con el tiempo.

Endurece la plataforma. Junto con el equipo de la plataforma, trabajará en la infraestructura que ejecuta Ghost(Pro): dependencias, cadena de suministro, secretos y acceso. Participarás en la rotación de guardia.

lo que estamos buscando

Estamos buscando un colaborador individual senior que haya hecho esto antes: alguien que haya sido propietario de la seguridad de la aplicación para un producto real y que se sienta tan cómodo escribiendo un parche como escribiendo un correo electrónico de divulgación. Serás la única persona en Ghost cuyo único trabajo es la seguridad, por lo que tú mismo establecerás la dirección y traerás al resto del equipo contigo.

Probablemente te reconocerás en la mayoría de estos:

• Profundo en la seguridad de las aplicaciones web. Conoce la lista habitual, pero lo más importante es que sabe cómo se muestran realmente esos errores en una aplicación Node.js grande: XSS, SSRF, fallas de autenticación y sesión, recorrido de ruta, inyección, límite de velocidad y omisiones de control de acceso. Los encontró, los solucionó y se los explicó a personas que no habían oído hablar de ellos.

• Un ingeniero fuerte en nuestra pila. Ghost es una aplicación JavaScript de pila completa. Ya envió Node.js/TypeScript en producción y puede obtener una solución lista para fusionar en una base de código grande y desconocida en las primeras semanas.

• Un pensador sistémico. Verá la cola de informes como datos sobre cómo se escribe el código, no solo como una lista de cosas que corregir. Buscas la causa raíz detrás de la tercera instancia del mismo error y prefieres cambiar el proceso que lo produjo que solucionarlo una cuarta vez.

• Bueno con los investigadores. Ha estado de un lado o del otro en la divulgación coordinada y sabe cómo mantener la colaboración: reconozca rápidamente, sea honesto acerca de la gravedad, dé crédito a las personas adecuadamente y diga no sin ser desdeñoso...

Fuente: Empleos remotos en la UE (https://euremotejobs.com/job/senior-security-engineer-2/)