Ingénieur senior en sécurité des applications

Apollo.io est la principale solution de mise sur le marché destinée aux équipes chargées des revenus, à laquelle font confiance plus de 500 000 entreprises et des millions d'utilisateurs dans le monde, depuis les startups à croissance rapide jusqu'à certaines des plus grandes entreprises du monde. Fondée en 2015, la société est l'une des sociétés SaaS à la croissance la plus rapide, levant environ 250 millions de dollars à ce jour et évaluée à 1,6 milliard de dollars. Apollo.io offre aux équipes commerciales et marketing un accès facile aux données de contact vérifiées de plus de 210 millions de contacts B2B et de 35 millions d'entreprises dans le monde, ainsi que des outils pour engager et convertir ces contacts sur une seule plateforme unifiée. En aidant les professionnels du revenu à trouver les informations de contact les plus précises et en automatisant le processus de sensibilisation, Apollo.io transforme les prospects en clients. Apollo a levé une série D en 2023 et est soutenu par des investisseurs de premier plan, dont Sequoia Capital, Bain Capital Ventures, etc., et compte l'ancien président et directeur de l'exploitation de Hubspot, JD Sherman, parmi ses membres du conseil d'administration.

Présentation du rôle

L’ingénieur principal en sécurité des applications est un contributeur individuel principal chargé de renforcer le cycle de vie de développement logiciel sécurisé d’Apollo et de réduire les risques liés aux applications pour les produits, la plate-forme et les fonctionnalités basées sur l’IA.

Ce rôle allie un travail approfondi de sécurité des applications au niveau du code avec un solide partenariat interfonctionnel. Il comprend des examens de la sécurité des applications, la modélisation des menaces, les outils AppSec, le tri des résultats et le suivi des mesures correctives, les tests externes et l'activation des développeurs.

Ce rôle est calibré au niveau L6 senior-IC : posséder des objectifs semestriels ou annuels, résoudre des problèmes ambigus avec un bon jugement, améliorer les processus opérationnels et favoriser une collaboration et une influence significatives entre les équipes.

Principales responsabilités

SDLC sécurisé, révision de la conception et modélisation des menaces

• Posséder et améliorer continuellement le cycle de vie de développement logiciel sécurisé pour les applications Apollo afin que la sécurité soit intégrée dans la conception, la mise en œuvre et le déploiement.

• Effectuer des examens de sécurité des applications, une modélisation des menaces et une analyse approfondie au niveau du code pour les produits, les plateformes et les fonctionnalités d'IA à fort impact avant le lancement.

• Fournir des conseils pratiques en matière d'architecture de sécurité aux équipes d'ingénierie, de produits et informatiques.

• Aider à définir et à maintenir les garde-fous de sécurité des applications, les attentes en matière de conception sécurisée, les normes de révision du code et les modèles de risque pour les systèmes nouveaux et existants.

Gestion des vulnérabilités et remédiation pratique

• Piloter une gestion des vulnérabilités lourde en exécution à travers les examens internes, les bug bounty, les pentests, les résultats SCA/runtime et autres signaux de recherche, en garantissant que les résultats sont validés, hiérarchisés, acheminés clairement et suivis via des mesures correctives et une vérification dans les SLA.

• Allez au-delà de l'identification des problèmes : lisez le code, expliquez la cause première, proposez le correctif le plus sûr et implémentez ou prenez directement en charge la correction si nécessaire pour des vulnérabilités complexes.

• Effectuer une validation pratique et des tests de sécurité offensifs des applications et des correctifs, y compris le développement d'exploits, les tests de contournement, la réflexion contradictoire et les exercices ciblés de type équipe rouge, pour confirmer que les mesures correctives traitent le problème sous-jacent plutôt que seulement le symptôme initial.

• Travailler sur les types de problèmes de sécurité des applications courants dans les environnements SaaS modernes, notamment les faiblesses d'authentification et d'autorisation, les risques de contrôle d'accès, les défauts de conception OAuth et CSRF, SSRF, les problèmes de cryptographie et de vérification, les risques de divulgation d'informations et d'exposition des données, les modèles d'exécution et de désérialisation non sécurisés et les vulnérabilités de dépendance ou d'exécution.

• Appliquer des décisions de gravité claires et basées sur les risques en utilisant l'exploitabilité, la sensibilité des données, l'impact sur le client et le rayon d'explosion.

Outillage, automatisation et IA

• Configurez et améliorez les outils et les intégrations AppSec, y compris la configuration SAST, les listes d'ignorer, les tableaux de bord et autres contrôles qui maintiennent une couverture utile sans bruit excessif.

• Sélectionnez, créez ou affinez des outils de sécurité, de petites automatisations et des enrichissements de flux de travail qui réduisent les efforts manuels et font évoluer les opérations AppSec de manière responsable.

• Utiliser l'IA pour automatiser, transformer et faire évoluer les processus de sécurité et d'ingénierie là où elle améliore sensiblement la vitesse, la cohérence ou la qualité du signal, tout en validant les résultats avec un jugement technique solide.

• Intégrez des contrôles de sécurité spécifiques à l'IA dans les révisions SSDLC et l'analyse du code, y compris la gestion des entrées et des sorties, les API exposées à l'IA, les garde-fous d'invite et de réponse et les chemins d'abus ou d'exfiltration de données.

• Collaborer de manière interfonctionnelle sur les exigences et les contrôles de sécurité de l'IA afin que les systèmes d'IA et les fonctionnalités basées sur l'IA soient conçus, déployés et exploités en toute sécurité.

Ingénierie et partenariat

• Prise en charge et mise à l'échelle des fonctionnalités de sécurité pour les ingénieurs et les champions de la sécurité, y compris le codage sécurisé, AppSec et le contenu de sécurité de l'IA.

• Fournir des conseils de remédiation exploitables, des modèles sécurisés et des exemples qui aident les équipes d'ingénierie à résoudre les problèmes rapidement et correctement.

• Travailler en étroite collaboration avec les équipes d'ingénierie, de produits, de plate-forme, de données, juridiques et d'autres équipes de sécurité pour maintenir les priorités AppSec alignées sur les risques commerciaux et la vélocité des produits.

• Produisez une documentation claire, des mesures et des récits écrits qui améliorent la visibilité, l'observabilité et la prise de décision d'AppSec.

À quoi ressemble le bien

• Possède des objectifs AppSec significatifs sur un horizon semestriel ou annuel et identifie de manière indépendante les bonnes solutions aux problèmes ambigus et ouverts.

• Favorise la collaboration entre les équipes et les améliorations opérationnelles au-delà des tickets isolés ou des évaluations ponctuelles

• Prend des décisions éclairées en équilibrant les détails techniques, le contexte commercial, la confiance des clients et les risques à long terme.

• Place la barre haute en matière d'appropriation, de communication, de mentorat et de jugement technique, et contribue à accroître l'efficacité des pairs et des équipes partenaires.

Compétences et expérience requises…

Source : Jobicy (https://jobicy.com/jobs/152253-senior-application-security-engineer-2)