Pracownik Inżynier Bezpieczeństwa Aplikacji

Apollo .io to wiodące rozwiązanie umożliwiające wejście na rynek dla zespołów ds. przychodów, któremu zaufało ponad 500 000 firm i miliony użytkowników na całym świecie, od szybko rozwijających się start-upów po jedne z największych przedsiębiorstw na świecie. Założona w 2015 roku firma jest jedną z najszybciej rozwijających się firm w branży SaaS, zebrała dotychczas około 250 milionów dolarów i wyceniana jest na 1,6 miliarda dolarów. Apollo .io zapewnia zespołom sprzedaży i marketingu łatwy dostęp do zweryfikowanych danych kontaktowych ponad 210 milionów kontaktów B2B i 35 milionów firm na całym świecie, wraz z narzędziami do angażowania i konwertowania tych kontaktów w ramach jednej zunifikowanej platformy. Pomagając profesjonalistom w znajdowaniu najdokładniejszych informacji kontaktowych i automatyzując proces docierania do odbiorców, Apollo .io zmienia potencjalnych klientów w klientów. Apollo pozyskał serię D w 2023 r. i jest wspierany przez czołowych inwestorów, w tym Sequoia Capital, Bain Capital Ventures i nie tylko, a do członków zarządu zalicza byłego prezesa i dyrektora operacyjnego Hubspot, JD Shermana.

Przegląd ról
Inżynier bezpieczeństwa aplikacji kieruje strategią bezpieczeństwa aplikacji dla działu bezpieczeństwa Apollo i realizuje ją poprzez praktyczną pracę i przywództwo techniczne. Ta rola zajmuje się najtrudniejszymi problemami AppSec w zakresie produktów, platform i funkcji opartych na sztucznej inteligencji, w tym problemami bez ustalonego podręcznika.
Rola ta kształtuje plany działania zespołów inżynieryjnych, produktowych i zajmujących się platformami, tak aby wzorce bezpieczeństwa stały się wzorcami domyślnymi i ustanawia standard AppSec, który pomaga wielu zespołom bezpiecznie budować bez polegania na pojedynczej osobie.
Kluczowe obowiązki
Strategia, standardy i wpływ AppSec

• Kieruj wieloletnią strategią AppSec firmy Apollo i przekształć ją w wielokwartalne inicjatywy międzyzespołowe, które przeniosą KR z działu bezpieczeństwa. Regularnie zgłaszaj postępy, ryzyko i kompromisy kierownictwu ds. bezpieczeństwa.

• Kształtuj plany działania dotyczące inżynierii, produktów, platform i danych, aby prace związane z bezpieczeństwem były zaplanowane na wczesnym etapie i reprezentuj AppSec w decyzjach międzydziałowych.

• Ustal standardy bezpiecznego projektowania, przeglądu kodu i modeli ryzyka stosowane w całym dziale i przyległych zespołach inżynierskich, w tym oczekiwania dotyczące kodu generowanego przez sztuczną inteligencję i agentów.

• Bądź mentorem dla starszych inżynierów i mistrzów bezpieczeństwa, rozwijaj program mistrzów i pomagaj podnosić poprzeczkę w procesie rekrutacji, tak aby program AppSec nie zależał od wiedzy jednej osoby.

Bezpieczna architektura i głębokość podatności

• Przeprowadzanie przeglądów architektury zabezpieczeń i modelowanie zagrożeń dla niejednoznacznych, wielkoskalowych systemów wielozespołowych, w tym funkcji sztucznej inteligencji i agentów, a także definiowanie podejścia tam, gdzie nie ma precedensu.

• Projektuj i wdrażaj bezpieczne elementy składowe, takie jak autoryzacja współdzielona, ​​bezpieczna obsługa protokołu OAuth i tokenów oraz klienci HTTP z zabezpieczeniem SSRF, aby przestały pojawiać się całe klasy problemów.

• Kształtuj zarządzanie podatnościami na wewnętrzne przeglądy, nagrody za błędy, pentesty, SCA i ustalenia w czasie wykonywania, ze szczególnym uwzględnieniem przyczyn źródłowych, klas błędów i jasnych decyzji o wadze na podstawie ryzyka.

• Bądź gotowy na najtrudniejsze przypadki: czytaj kod w zespołach, opracowuj exploity, obejścia testów i wiodącą analizę wariantów oraz etapowe korygowanie między zespołami.

Narzędzia, automatyzacja i sztuczna inteligencja (domyślnie natywna sztuczna inteligencja)

• Ustanawiaj standard AppSec wspomaganego sztuczną inteligencją w swoim dziale. Korzystaj ze sztucznej inteligencji i agentów do przeglądu kodu, modelowania zagrożeń, selekcji i korygowania oraz twórz automatyzację, którą wdrażają zespoły spoza działu bezpieczeństwa, z wymiernymi korzyściami w zakresie szybkości, zasięgu i jakości sygnału.

• Zdefiniuj, w jaki sposób Apollo zabezpiecza swoje systemy AI i funkcje agentów, w tym obsługę danych wejściowych i wyjściowych, interfejsy API udostępniające sztuczną inteligencję, bariery monitów i odpowiedzi, uprawnienia narzędzi i ścieżki eksfiltracji danych.

Jak wygląda dobro (zaczerpnięte z sekcji poświęconych misji i sukcesowi)

• Jest właścicielem strategii AppSec na przestrzeni wielu lat i uwzględnia ją w planach działania innych zespołów.

• Rozwiązuje niejednoznaczne problemy niepodręcznikowe i określa podejście, które inni powinni naśladować.

• Podejmuje ryzykowne decyzje w przypadku niejasności i łączy liderów technicznych i nietechnicznych bez formalnego upoważnienia.

• Tworzy bariery ochronne, standardy i ludzi, dzięki czemu AppSec może skalować się poza jedną osobę.

Wymagane umiejętności i doświadczenie

• Doświadczenia w zakresie wiodącej strategii AppSec, która zmieniła sposób tworzenia kilku zespołów inżynieryjnych, przynosząc wymierne rezultaty, zwykle poparte ponad 10-letnim doświadczeniem w inżynierii oprogramowania lub bezpieczeństwie aplikacji.

• Ekspercka recenzja kodu, testy penetracyjne i umiejętności programistyczne wykorzystujące wykorzystanie, z możliwością znalezienia błędów projektowych w nieznanych bazach kodu i poprawkach, które wytrzymują próby obejścia.

• Silne umiejętności tworzenia oprogramowania i możliwość wysyłania kodu produkcyjnego. Doświadczenie w Ruby i Ruby on Rails jest bardzo cenne, a Python będzie dodatkowym atutem. Solidne podstawy Linuksa i chmury, najlepiej GCP i Kubernetes.

• Głębokie doświadczenie w bezpiecznej architekturze oraz wzorcach uwierzytelniania i autoryzacji, a także w budowaniu elementów zabezpieczeń wdrażanych przez inne zespoły.

• Praktyczne doświadczenie w zabezpieczaniu systemów lub funkcji agentów opartych na sztucznej inteligencji oraz jasny punkt widzenia na temat tego, jak sztuczna inteligencja zmienia bezpieczeństwo aplikacji.

• Ocena konieczności podejmowania twardego ryzyka w obliczu dwuznaczności oraz wpływ na kojarzenie liderów technicznych i nietechnicznych bez formalnej władzy.

Preferowane kwalifikacje

• Poznaj wiodące zabezpieczenia produktów opartych na sztucznej inteligencji, agentów wewnętrznych lub przepływów pracy inżynieryjnych wspomaganych sztuczną inteligencją na dużą skalę.

• Doświadczenie w budowaniu i skalowaniu mistrzów bezpieczeństwa lub programu wspierania programistów.

• Prace związane z bezpieczeństwem publicznym, takie jak CVE, badania, rozmowy lub narzędzia typu open source, lub certyfikaty, takie jak OSCP lub OSWE.

Przykładowe rezultaty sukcesu

• Strategia AppSec powiązana z KR działu bezpieczeństwa, wspierająca prace zaangażowane w plany działania innych zespołów.

• Wymierny spadek klas podatności wysokiego ryzyka, poparty wspólnymi barierami ochronnymi lub bibliotekami.

• Przepływy pracy AppSec wspomagane sztuczną inteligencją przyjęte przez zespoły spoza działu bezpieczeństwa, co zapewnia wyraźny wzrost szybkości i jakości sygnału.…

Źródło: Himalaje (https://himalayas.app/companies/apollo/jobs/staff-application-security-engineer)