Ingénieur en sécurité des applications

Apollo .io est la principale solution de mise sur le marché destinée aux équipes chargées des revenus, à laquelle font confiance plus de 500 000 entreprises et des millions d'utilisateurs dans le monde, depuis les startups à croissance rapide jusqu'à certaines des plus grandes entreprises du monde. Fondée en 2015, la société est l'une des sociétés SaaS à la croissance la plus rapide, levant environ 250 millions de dollars à ce jour et évaluée à 1,6 milliard de dollars. Apollo .io offre aux équipes commerciales et marketing un accès facile aux données de contact vérifiées de plus de 210 millions de contacts B2B et de 35 millions d'entreprises dans le monde, ainsi que des outils pour engager et convertir ces contacts sur une seule plateforme unifiée. En aidant les professionnels des revenus à trouver les informations de contact les plus précises et en automatisant le processus de sensibilisation, Apollo .io transforme les prospects en clients. Apollo a levé une série D en 2023 et est soutenu par des investisseurs de premier plan, dont Sequoia Capital, Bain Capital Ventures, etc., et compte l'ancien président et directeur de l'exploitation de Hubspot, JD Sherman, parmi ses membres du conseil d'administration.

Présentation du rôle
L'ingénieur en sécurité des applications du personnel dirige la stratégie de sécurité des applications pour le département de sécurité d'Apollo et la met en œuvre grâce à un travail pratique et un leadership technique. Ce rôle s'attaque aux problèmes AppSec les plus difficiles concernant les produits, les plates-formes et les fonctionnalités basées sur l'IA, y compris les problèmes sans playbook établi.
Ce rôle façonne les feuilles de route des équipes d'ingénierie, de produit et de plate-forme afin que les modèles sécurisés deviennent la valeur par défaut et définit la norme AppSec qui aide de nombreuses équipes à construire en toute sécurité sans dépendre d'une seule personne.
Principales responsabilités
Stratégie, normes et influence AppSec

• Diriger la stratégie AppSec pluriannuelle d'Apollo et la transformer en initiatives multi-trimestrielles inter-équipes qui font évoluer les KR du département de sécurité. Signalez régulièrement les progrès, les risques et les compromis aux responsables de la sécurité.

• Élaborer des feuilles de route pour l'ingénierie, les produits, la plate-forme et les données afin que les travaux de sécurité soient planifiés à un stade précoce et représenter AppSec dans les décisions interdépartementales.

• Définir les normes de conception sécurisée, de révision du code et de modèle de risque utilisées dans le département et les équipes d'ingénierie adjacentes, y compris les attentes en matière de code généré par l'IA et généré par les agents.

• Encadrer les ingénieurs seniors et les champions de la sécurité, développer le programme des champions et contribuer à relever la barre du recrutement, afin que le programme AppSec ne dépende pas de l'expertise d'une seule personne.

Architecture sécurisée et profondeur de vulnérabilité

• Diriger les examens de l'architecture de sécurité et la modélisation des menaces pour les systèmes ambigus, à grande échelle et multi-équipes, y compris les fonctionnalités d'IA et d'agent, et définir l'approche là où il n'existe aucun précédent.

• Concevoir et favoriser l'adoption de blocs de construction sécurisés par défaut, tels que l'autorisation partagée, la gestion sécurisée d'OAuth et de jetons, ainsi que les clients HTTP sécurisés SSRF, afin que des catégories entières de problèmes cessent d'apparaître.

• Façonner la gestion des vulnérabilités à travers les examens internes, les bug bounty, les pentests et les résultats de SCA et d'exécution, en mettant l'accent sur les causes profondes, les classes de bogues et les décisions claires en matière de gravité basées sur les risques.

• Restez présent dans les cas les plus difficiles : lisez le code au sein des équipes, développez des exploits, testez les contournements, et dirigez l'analyse des variantes et les mesures correctives par étapes entre les équipes.

Outillage, automatisation et IA (IA-native par défaut)

• Définir la norme en matière d'AppSec augmentée par l'IA dans le département. Utilisez l'IA et les agents pour l'examen du code, la modélisation des menaces, le tri et la correction, et créez une automatisation que les équipes extérieures à la sécurité adoptent, avec des gains mesurés en termes de vitesse, de couverture et de qualité du signal.

• Définir comment Apollo sécurise ses systèmes d'IA et les fonctionnalités de ses agents, y compris la gestion des entrées et des sorties, les API exposées à l'IA, les garde-fous d'invite et de réponse, les autorisations des outils et les chemins d'exfiltration des données.

À quoi ressemble le bien (rédigé à partir de vos sections mission et réussite)

• Détient la stratégie AppSec sur un horizon pluriannuel et l'engage dans les feuilles de route des autres équipes.

• Résout les problèmes ambigus et sans manuel et définit l'approche à suivre par les autres.

• Prend des risques difficiles en cas d'ambiguïté et aligne les dirigeants techniques et non techniques sans autorité formelle.

• Crée des garde-fous, des normes et des personnes pour qu'AppSec s'adapte au-delà d'une seule personne.

Compétences et expérience requises

• Une expérience de pointe en matière de stratégie AppSec qui a changé la façon dont plusieurs équipes d'ingénierie construisent, avec des résultats mesurables, généralement soutenus par plus de 10 ans d'expérience en ingénierie logicielle ou en sécurité des applications.

• Compétences expertes en matière de révision de code, de tests d'intrusion et de développement d'exploitation, avec la capacité de trouver des défauts de conception dans des bases de code inconnues et des correctifs qui résistent aux tentatives de contournement.

• Solides compétences en développement de logiciels et capacité à expédier du code de production. L'expérience Ruby et Ruby on Rails est très précieuse et Python est un plus. Solides fondamentaux de Linux et du cloud, idéalement GCP et Kubernetes.

• Expérience approfondie de l'architecture sécurisée, des modèles d'authentification et d'autorisation, ainsi que de la création d'éléments de sécurité que d'autres équipes adoptent.

• Expérience pratique dans la sécurisation des systèmes ou des fonctionnalités d'agent basés sur l'IA, et point de vue clair sur la manière dont l'IA modifie la sécurité des applications.

• Le jugement nécessaire pour prendre des risques difficiles en cas d'ambiguïté, et l'influence nécessaire pour aligner les dirigeants techniques et non techniques sans autorité formelle.

Qualifications préférées

• Faites l'expérience d'une sécurité de pointe pour les produits natifs d'IA, les agents internes ou les flux de travail d'ingénierie assistés par l'IA à grande échelle.

• Expérience dans la création ou la mise à l'échelle d'un programme de champions de la sécurité ou d'habilitation des développeurs.

• Travaux de sécurité publique, tels que CVE, recherches, discussions ou outils open source, ou certifications telles que OSCP ou OSWE.

Exemples de résultats de réussite

• Une stratégie AppSec liée aux KR du département Sécurité, avec un travail de soutien engagé dans les feuilles de route d'autres équipes.

• Une baisse mesurable des classes de vulnérabilité à haut risque, soutenue par des garde-fous ou des bibliothèques partagées.

• Workflows AppSec assistés par l'IA adoptés par des équipes extérieures à la sécurité, avec des gains évidents en termes de vitesse ou de qualité du signal.…

Source : Himalaya (https://himalayas.app/companies/apollo/jobs/staff-application-security-engineer)