Inżynier bezpieczeństwa platformy

W Scality tworzymy oprogramowanie, które przechowuje i chroni najważniejsze dane na świecie — działające w systemie Linux, w ramach jednej z największych infrastruktur na świecie, w skali eksabajtów, dla organizacji, które nie mogą sobie pozwolić na porażkę.

Poszukujemy inżyniera ds. bezpieczeństwa platformy, który dołączy do naszego zespołu ds. platform i dostaw w Paryżu. To nowa siedziba, istniejąca, ponieważ prace związane z bezpieczeństwem wymagają wydzielonych pracowników. Pochłonięty zadaniami w tle pomiędzy biletami fabularnymi, nigdy nie skupia się na tym, na co zasługuje. Byłbyś tą dedykowaną zdolnością.

Jest to przede wszystkim praktyczna rola inżyniera związana z Linuksem. Nie będziesz pisać polityk do wdrożenia przez inne osoby — napiszesz Python i Bash, które wzmacniają nasz system operacyjny, automatyzują nasze zarządzanie lukami w zabezpieczeniach i udowadniają audytorom i klientom, że nasz łańcuch dostaw jest solidny.

O Skalowalności
Scality jest liderem w dziedzinie przechowywania obiektów definiowanych programowo, któremu zaufało ponad 1000 przedsiębiorstw i ponad 700 milionów użytkowników na całym świecie w sektorach bankowym, opieki zdrowotnej i rządowym – dokładnie w sektorach, w których stan bezpieczeństwa jest kryterium zakupu, a nie polem wyboru.

Uznanie w branży:

• Lider Gartner Magic Quadrant przez 9 kolejnych lat — jedyna firma zajmująca się pamięcią masową w 100% definiowaną programowo, która utrzymuje tę pozycję od momentu powstania kwadrantu

• Numer 1 w rankingu GigaOm Radar for Enterprise Object Storage (2024), przed 17 konkurencyjnymi dostawcami

• Nagroda Gold Stevie 2025 — ARTESCA 3.0, kategoria Cloud Storage & Backup Solution

• Wynik Net Promoter Score na poziomie 85 w RING i ARTESCA

O zespole

Dołączysz do małego zespołu wysoko wykwalifikowanych inżynierów Linuksa odpowiedzialnych za dostarczanie i utrzymanie ADI (Scality Autonomous Data Infrastructure), naszej pełnej platformy: RING (object Storage), S3C (warstwa kompatybilna z S3) i SCOS (Scality OS — nasza własna dystrybucja Linuksa).

Zespół pracuje nad pełnym zakresem inżynierii infrastruktury — głęboką integracją systemu Linux, pakowaniem RPM, potokami CI/CD, monitorowaniem i automatyzacją wydawania. Wiersz poleceń to miejsce, w którym dzieje się większość naszego dnia, a my dostarczamy dystrybucję Linuksa klientom.

Jak budujemy

Budujemy przy użyciu narzędzi AI, na serio, a nie w ramach eksperymentu. Każdy inżynier tutaj ma Claude Code i jest to część naszego codziennego pisania, sprawdzania i dostarczania kodu.

Projektujemy także coś większego: fabrykę kodu i dostarczania AI — sztuczną inteligencję wplecioną w sam łańcuch kompilacji i wydawania, a nie tylko w edytor. Prace te są na wczesnym etapie rozwoju i nadal są raczej rozważane niż już rozwiązane. Oczekujemy, że stanie się to częścią naszego utrzymania platformy, a naprawa CVE to jedno z pierwszych miejsc, które naszym zdaniem pasuje: zautomatyzowana ścieżka od doradztwa przez ocenę do poprawionej, przetestowanej i dostarczonej kompilacji.

Jeśli brzmi to jak problem, nad którym chciałbyś popracować, ta rola jest mu bliska.

Jedna zasada nie podlega negocjacjom: wynik jest własnością człowieka. Sztuczna inteligencja pisze tutaj kod, a kiedy to robi, jesteśmy właścicielami tego, co wyprodukuje — recenzji, decyzji o wysłaniu, konsekwencji i poprawki. „Narzędzie to zrobiło” nie jest wyjaśnieniem, które od siebie akceptujemy i nie jest takim, które oferowalibyśmy klientowi. W pracy związanej z bezpieczeństwem ma to podwójne znaczenie: odpowiedź, której nie można obronić, jest gorsza niż brak odpowiedzi.

Jak działa ta rola

Scality buduje sieć inżynierów ds. bezpieczeństwa w całym dziale inżynieryjnym — w każdym zespole programistów znajduje się specjalista ds. bezpieczeństwa, a nie centralna funkcja bezpieczeństwa działająca na dystans od kodu. Będziesz tym samym partnerem dla platformy i zespołu dostarczającego.

• Priorytety bezpieczeństwa są własnością naszego wiceprezesa ds. inżynierii. Program jest ustalany na tym poziomie, a zespoły angażują dedykowane zasoby. Nie będziesz musiał wymyślać tego sam — będziesz miał w nim głos: inżynierowie najbliżej kodu pomogą zdecydować, co trafi do planu działania. Będziemy z tobą szczerzy: dziś praca związana z bezpieczeństwem konkuruje ze zobowiązaniami dotyczącymi dostaw i zbyt często przegrywa. Zamierzamy to zmienić, wyznaczając właściciela i finansując dedykowane osoby. Pomógłbyś zbudować tę zdolność, a nie odziedziczyć ukończoną.

• Zespół jest odpowiedzialny za dostawy. Przedmioty związane z bezpieczeństwem leżą na talerzu zespołu razem ze wszystkim, do czego się zobowiązuje, a nie zajmują się oddzielną funkcją składania zgłoszeń z zewnątrz.

• Jesteś dedykowanym zasobem, który sprawia, że ​​tak się dzieje. Podczas gdy Twoi koledzy z zespołu zajmują się wydaniami, zgodnością systemu operacyjnego i funkcjami platformy, Twój czas jest zarezerwowany na prace związane z bezpieczeństwem. To skupienie jest powodem istnienia tego fotelika.

• Dzielisz się obszarem zespołu i jego wiedzą. Te same repozytoria, te same projekty Jira, te same recenzje kodu, te same rytuały sprintu. Inżynierowie wokół ciebie mają rzadką, ciężko wypracowaną wiedzę dotyczącą Linuksa – integrację systemu operacyjnego, pakowanie RPM, uruchamianie i GRUB, CI/CD, monitorowanie – i od nich nauczysz się obsługi platformy.

• Będziesz mieć rówieśników. Inżynierowie bezpieczeństwa w innych zespołach programistycznych pracują nad tymi samymi problemami na różnych obszarach. W tej sieci porównujesz notatki, udostępniasz narzędzia i rozwijasz się w swoim rzemiośle.

Istota modelu polega na tym, że decyzje dotyczące bezpieczeństwa są podejmowane w zespole, który buduje i wysyła produkt, przez osobę, która rozumie system kompilacji, a nie składa do niego skargi.

Twoje pierwsze misje

W planie działania znajdują się już dwa priorytety, które będą miały wpływ na Twój pierwszy rok.

1. Narażenie na CVE, odpowiedź zanim zostanie zadane

Klienci z sektora bankowości, opieki zdrowotnej i instytucji rządowych pytają nas rutynowo i w ramach swoich obowiązków audytowych, czy nasze produkty są narażone na dany CVE. To się nie skończy — dla nich pytanie jest wymogiem zgodności. Obecnie każda odpowiedź jest badana od podstaw: pytanie klienta staje się zgłoszeniem, zgłoszenie staje się polowaniem na zapytania SBOM, porady dostawców i naszą własną konfigurację, a podróż w obie strony może zająć tygodnie, zanim powstanie coś, czego zespół nie będzie w pełni pewien, czy będzie bronił.

Twoja pierwsza misja polega na odwróceniu tego, aby odpowiedź już istniała, gdy pojawia się pytanie.…

Źródło: Arbeitnow (https://www.arbeitnow.fr/jobs/companies/scality/platform-security-engineer-paris-france-59934)