Inżynier bezpieczeństwa, aplikacja

Firmus Technologies

Firmus Technologies to światowy lider pionierski w rozwoju i obsłudze wydajnej infrastruktury AI w regionie Azji i Pacyfiku.

Założona w Australii w 2019 roku, naszą misją jest tworzenie najbardziej wydajnej infrastruktury AI poprzez połączenie najnowocześniejszej technologii z niezłomnym zaangażowaniem w zrównoważony rozwój.

W Firmus jesteśmy wyjątkowi w swoim podejściu. Projektujemy, budujemy i obsługujemy nową klasę infrastruktury cyfrowej – AI Factory. Dzięki naszemu podejściu do technologii „model-to-grid” przesunęliśmy granice wielopokoleniowych systemów chłodzenia cieczą, zarządzania energią, orkiestracji oprogramowania AI i konstrukcji. W przypadku naszych klientów takie podejście pozwala nam wykorzystać każdy wat i dostarczać tanie tokeny AI na całym świecie.

Firmus AI Cloud

Nasza wielkoskalowa platforma chmurowa oparta na procesorach graficznych, Firmus AI Cloud, została stworzona specjalnie z myślą o dostarczaniu klientom energooszczędnych obliczeń AI na dużą skalę.

Umożliwia programistom, przedsiębiorstwom, instytucjom edukacyjnym i użytkownikom rządowym szkolenie i wdrażanie modeli sztucznej inteligencji z niezrównaną wydajnością i oszczędnością kosztów. Dzięki stale rosnącemu pakietowi usług i aplikacji dążymy do dostarczania rozwiązań w chmurze, które są wiodące na rynku, zastrzeżone i budowane z myślą o skalowaniu.

PODSUMOWANIE ROLI

Firmus Technologies poszukuje starszego inżyniera ds. bezpieczeństwa, aplikacji do naszego zespołu inżynieryjno-technologicznego. Jesteś właścicielem zabezpieczeń aplikacji Firmus AI Cloud i wewnętrznego oprogramowania, które je obsługuje. Automatyzacja to sposób skalowania tej własności. Klienci udostępniają obliczenia GPU za pośrednictwem interfejsu API i konsoli, inżynierowie oprogramowania na ich podstawie budują, a nasi operatorzy obsługują platformę w ramach tej samej płaszczyzny sterowania. Jesteś właścicielem bezpieczeństwa tego oprogramowania: publicznych interfejsów API, usług za nimi stojących, sposobu oddzielania najemców w aplikacji oraz asystentów i agentów AI, których dostarczamy na wierzchu.

KLUCZOWE OBOWIĄZKI

Automatyzacja i bezpieczna dostawa

• Posiadaj bramki bezpieczeństwa CI/CD, przez które przechodzi każde repozytorium produkcyjne: SAST, DAST, SCA, wykrywanie sekretów i generowanie SBOM.

• Zbuduj systemy, które wykonują powtarzalną pracę: wyszukiwanie segregacji, zwiększanie zależności, gromadzenie dowodów i tworzenie modeli zagrożeń.

• Dostarczaj bezpieczne, utwardzone drogi, na których opierają się inne zespoły: biblioteki wielokrotnego użytku, szablony usług i narzędzia dla programistów.

• Napisz i przejrzyj kod w chronionych usługach, w tym ścieżki o znaczeniu krytycznym dla bezpieczeństwa, które pomijają narzędzia.

Architektura i standardy bezpieczeństwa

• Ustaw standard bezpieczeństwa aplikacji i kontrolę uwierzytelniania, autoryzacji między usługami, izolacji dzierżawców na granicy aplikacji, obsługi sekretów i rejestrowania.

• Wiodące modelowanie zagrożeń i przegląd bezpiecznego projektu. Zdefiniuj, co może zrobić atakujący i co musi być prawdą, zanim zostanie wysłana.

• Ustaw wymagania bezpieczeństwa dla wysyłanych przez nas asystentów i agentów AI, np.: natychmiastowy zastrzyk, zatrucie kontekstowe.

• Kontroluj, do jakich narzędzi i serwerów narzędzi mogą dotrzeć nasi agenci AI i inżynierowie oprogramowania oraz w jaki sposób te integracje są określane, umieszczane na liście dozwolonych i kontrolowane.

Zarządzanie zabezpieczeniami i podatnościami

• Własny poziom bezpieczeństwa aplikacji w naszych usługach: co obejmuje, co jest otwarte, co jest akceptowane z określonym właścicielem i datą wygaśnięcia oraz co jest przeterminowane.

• Nadaj priorytet poprawkom dotyczącym możliwości wykorzystania i narażenia wraz z CVSS i trzymaj je zgodnie z umowami SLA dotyczącymi luk w zabezpieczeniach Firmus.

• Przeprowadź naprawę wraz z zespołami będącymi właścicielami kodu, aby problemy były eliminowane u źródła.

• Rozszerzanie SOC 2 typu 2 i ISO 27001 na ścieżkę dostarczania oprogramowania w miarę rozwoju usług i witryn. Dowodem na to, że przebieg kontroli powinien być zapytaniem, a nie ćwiczeniem w arkuszu kalkulacyjnym.

Umożliwienie i eskalacja

• Trenuj mistrzów bezpieczeństwa w każdym zespole, aby decyzje projektowe były podejmowane bez czekania na Ciebie.

• Zapewniaj wiedzę specjalistyczną w zakresie bezpieczeństwa aplikacji podczas incydentów i przekształcaj powtarzające się tryby awarii w bramki, testy, standardy lub narzędzia dla programistów.

• Zapewnij kierownictwu inżynierii bezpośrednią analizę ryzyka aplikacji i gotowości do wydania. Dołącz do rozmów z klientami, gdy pojawia się pytanie dotyczące bezpieczeństwa aplikacji.

UMIEJĘTNOŚCI I DOŚWIADCZENIE

• Licencjat z informatyki lub pokrewnej dziedziny technicznej.

• Ponad 7 lat doświadczenia w bezpieczeństwie aplikacji, bezpieczeństwie produktów lub inżynierii oprogramowania ze szczególnym uwzględnieniem bezpieczeństwa.

• Doświadczenie w zabezpieczaniu chmury publicznej lub platformy z wieloma dzierżawcami za pomocą publicznego API.

• Głęboka, praktyczna znajomość 10 najlepszych OWASP i 10 najlepszych zabezpieczeń OWASP API. Posiada w środowisku produkcyjnym modelowane zagrożenia API dla wielu dzierżawców: tożsamość, autoryzacja między usługami, izolacja dzierżawców i sposoby, w jakie klient nadużywa opublikowanej umowy przy użyciu STRIDE lub równoważnej metody, zarówno dla REST, jak i gRPC.

• Poprawił poziom bezpieczeństwa oprogramowania stworzonego przez inne zespoły inżynieryjne poprzez standardy, narzędzia, przeglądy lub wzorce bezpiecznego domyślnego działania.

• Posiadał produkcyjne bramki zabezpieczające CI/CD (SAST, DAST, SCA, wykrywanie tajemnic, SBOM) i dostrajał je tak, aby zapewniały przydatne wyniki przy niskim wskaźniku fałszywych alarmów, którym inżynierowie zaufali i na których podstawie podjęli działania.

• Pisze kod o jakości produkcyjnej w co najmniej jednym z języków Python, Go lub TypeScript.

• Zastąpił ręczną pracę związaną z bezpieczeństwem automatyzacją: wyszukiwanie segregacji, zwiększanie zależności, zbieranie dowodów lub testy regresyjne, które działają bez nadzoru.

• Praktyczne funkcje wspierane przez LLM lub funkcje agenta: natychmiastowe wstrzykiwanie, niewłaściwe użycie narzędzi, tożsamość agenta i delegowane poświadczenia, wyciek danych między dzierżawcami oraz kontrola wygenerowanego kodu docierającego do produkcji. Znajomość wytycznych OWASP dotyczących aplikacji LLM i agentów.

• Głębokie praktyczne doświadczenie z OAuth, OIDC, JWT, RBAC lub ABAC, kryptografią w warstwie aplikacji, obsługą tokenów i tajemnicami w oprogramowaniu.

• Pracował zgodnie z SOC 2 typu 2 lub ISO 27001 i może przedstawić dowód przeprowadzenia kontroli.

• Chęć przyłączenia się do reagowania na incydenty w celu zapewnienia bezpieczeństwa aplikacji i API.

• Gotowość do okazjonalnych podróży zagranicznych, jeśli wymaga tego stanowisko.…

Źródło: Arbeitnow (https://www.arbeitnow.co.uk/jobs/companies/security-engineer-application-greenhouse/security-engineer-application-sydney-australia-277577)