Inżynier bezpieczeństwa chmury

YGO.ai to finansowana przez VC platforma turystyczna oparta na sztucznej inteligencji. Zatrudniamy inżyniera ds. bezpieczeństwa chmury, który będzie odpowiedzialny za bezpieczeństwo naszej platformy chmurowej, interfejsów API, z których korzystają nasi klienci korporacyjni, oraz samej firmy.

🛡️ O tej roli. Ta rola niesie ze sobą dwie rzeczy na raz. Jesteś bezpośrednim i praktycznym właścicielem inżynierii bezpieczeństwa. W miarę naszego rozwoju budujesz wokół tego funkcję bezpieczeństwa. W YGO lider zespołu to lider zespołu i rzecznik prasowy, blisko pracy i klienta, a nie pełnoetatowy menedżer. Nie przestaniesz być inżynierem.
Praca jest szeroka. Możesz przejrzeć kod źródłowy rano, sprawdzić alert punktu końcowego po obiedzie i pomóc zaprojektować nowy przepływ uwierzytelniania następnego dnia. Identyfikujesz problemy o najwyższym ryzyku, decydujesz, co stanie się jako pierwsze i wykonujesz je.
Obsługujemy duże przedsiębiorstwa z branży turystycznej, a nasze zobowiązania będą obowiązywać od początku 2027 r. Bezpieczeństwo jest warunkiem tej działalności, a nie warstwą dodaną później.

🧑‍💻 Co będziesz posiadać

• Bezpieczeństwo aplikacji. Praktyczny przegląd kodu i architektury w naszych interfejsach API, usługach zaplecza i narzędziach wewnętrznych. Ukierunkowane testy penetracyjne w celu samodzielnego sprawdzenia problemów. Zamiast przekazywać raporty, należy pracować z inżynierami nad przyczynami źródłowymi i praktycznymi poprawkami. Zlecane przez nas zarządzanie podatnościami i zewnętrzne testy penetracyjne

• Wykrywanie i reakcja. Świadomość, że jesteśmy atakowani w trakcie tego wydarzenia i tego, co stanie się potem. Alarmowanie, wykrywanie włamań, proces incydentów i ścieżka dyżuru

• Wzmocnienie chmury i platformy. Kontrola dostępu, granice sieci, zarządzanie sekretami, kontenery i potok wdrażania. Bezpieczeństwo poprzez SDLC: CI/CD, repozytoria i zależności

• Bezpieczeństwo naszych interfejsów API. Uwierzytelnianie i autoryzacja, izolacja dzierżawców, zakres i cykl życia tokenów, zapobieganie nadużyciom, logowanie jednokrotne w przedsiębiorstwie i ścieżka audytu, od których zależą nasi klienci i nasza odpowiedzialność

• Bezpieczeństwo naszych systemów AI. Szybkie wstrzykiwanie, uprawnienia narzędzi i agentów, nasz serwer MCP, pobieranie i pozyskiwanie danych. Zasady przechowywania danych, których przestrzegamy na mocy umowy

• Bezpieczeństwo tożsamości i firmy. SSO, MFA i dostęp uprzywilejowany dla pracowników, onboarding i offboarding, przeglądy dostępu, MDM, bezpieczeństwo punktów końcowych i dostęp SaaS. Praktyczne bezpieczeństwo IT, którego potrzebuje firma naszej wielkości, nie jest omawiane

• Bezpieczna konstrukcja w kapsułach. Modelowanie zagrożeń i przegląd projektów, które umożliwiają inżynierom zamiast ich pilnować i podnoszą standard tego, co wysyłają

• Sama funkcja bezpieczeństwa. Ustal priorytety i plan działania na podstawie rzeczywistego ryzyka, a nie teatru bezpieczeństwa. Zdecyduj, co zbudujemy, kupimy, zautomatyzujemy lub odłożymy na później. Rozwijaj zespół i zatrudniaj go, reprezentuj bezpieczeństwo klientów korporacyjnych i realizuj nasz program SOC 2 na Drata. Przestrzeganie przepisów jest częścią tej pracy, a nie jej sednem

🚢 Co zabezpieczysz

• Silnik wyszukiwania i rekomendacji AI dla dużych przedsiębiorstw z branży turystycznej: integracja przedsiębiorstw, logowanie jednokrotne, przeglądy bezpieczeństwa klientów, integracje z GDS

• Interfejs API do wzbogacania treści sprzedawany jako SaaS: na dużą skalę, dostępny publicznie, obciążony danymi i sztuczną inteligencją

• Platforma pod spodem: konsola klienta z organizacjami, projektami i tokenami API, integracja dostawców i klientów biznesowych, pozyskiwanie danych, serwer MCP i kilku dostawców LLM za jedną wewnętrzną biblioteką

📚 Nasz stos

• Backend: Przejdź na monorepo (bez frameworka, ponad 3 usługi)

• Dane: Kolejka PostgreSQL, Redis, Redis Asynq

• Hosting: kontenery zarządzane przez PaaS, z przodu Cloudflare

• Obserwowalność: śledzenie Jaegera, BetterStack do rejestrowania, powiadamiania i dyżurowania

• Zgodność: Drata, SOC 2 w toku

• Narzędzia AI: Kod Claude, używany w całym zespole

✅Musisz mieć

• Ponad 5 lat praktycznej pracy nad bezpieczeństwem w więcej niż jednej dyscyplinie. Nie pięć lat inżynierii z pewnym zabezpieczeniem. Ta rola wyznacza standardy dla firmy, dlatego potrzebuje kogoś, kto widział wystarczająco dużo, aby móc oceniać, a nie opinie

• Głębokość bezpieczeństwa aplikacji. Wiesz, w jaki sposób atakowane są nowoczesne aplikacje internetowe i interfejsy API. Możesz samodzielnie zweryfikować problem poprzez przegląd kodu lub ukierunkowany test penetracyjny i współpracować z inżynierem nad rozwiązaniem

• Dobra znajomość uwierzytelniania i autoryzacji. OAuth i OIDC, sesje, obsługa tokenów, kontrola dostępu i tryby awarii stojące za większością naruszeń API

• Podstawy bezpieczeństwa w chmurze, właściwie. Bezpieczeństwo tożsamości, sieci, obciążenia i potoku na nowoczesnej platformie chmurowej, zastosowane w systemach produkcyjnych, za które byłeś odpowiedzialny

• Doświadczenie w defensywie obok ofensywy. Badałeś prawdziwe zdarzenia. Zbudowałeś lub ulepszyłeś wykrywanie i ostrzeganie, które je wyłapuje

• Modelowanie zagrożeń i bezpieczna architektura dla systemów chmurowych, kontenerowych i API

• Wykształcenie inżynierskie. Czujesz się komfortowo w bazie kodu, możesz przeglądać to, co produkują nasi inżynierowie i nasze narzędzia AI, i możesz sam zbudować to, czego potrzebujesz. Naszym backendem jest Go. Wcześniejsze doświadczenie w Go jest plusem, a nie wymogiem

• Komfort w środowiskach o ograniczonych zasobach. Startupy, małe zespoły ds. bezpieczeństwa lub firmy konsultingowe nauczyły Cię ustalania priorytetów w zakresie ryzyka, wpływu na biznes i dostępnych zasobów oraz samodzielnego wykonywania zadań

• Apetyt na budowanie zespołu. Chcesz rozwijać tę funkcję i ostatecznie nią kierować. Wcześniejsze doświadczenie na stanowisku kierowniczym jest zaletą, a nie wymogiem. Wolelibyśmy mieć głębię i rozwijać przywództwo, niż odwrotnie

• Biegłość w pracy z Claude Code. Podziel się konkretnymi przykładami

• Ocena tempa. Zabezpieczasz firmę, która codziennie wysyła przesyłki, nie stając się przyczyną ich zatrzymania. Poręcze nad bramami

• Doświadczenie w zakresie SOC 2, ISO 27001 lub wymagających przeglądów bezpieczeństwa przedsiębiorstwa

• Doskonały angielski w mowie i piśmie. Będziesz rozmawiać z audytorami, zespołami ds. bezpieczeństwa klienta i naszymi inżynierami, często w tym samym tygodniu

• ⚠️ Europejskie lub afrykańskie strefy czasowe (±3 godziny od CET)

• Dostępność na pełen etat (40 godzin tygodniowo)

🌟 Miło jest mieć…

Źródło: Arbeitnow (https://www.arbeitnow.com/jobs/companies/ygo/remote-cloud-security-engineer-291881)