Старший инженер по безопасности приложений

В Beyond Finance мы поставили перед собой задачу помочь обычным американцам вырваться из бесконечного цикла разрушительных долгов и шагнуть в светлое финансовое будущее. Благодаря сострадательному, индивидуальному подходу, культуре, ориентированной на соблюдение требований и этики, поддерживающим ориентированным на пользователя технологиям и индивидуальным финансовым решениям, мы помогли более чем 1 миллиону клиентов на пути к светлому будущему.

Хотя мы гордимся тем, чего уже достигли, мы ищем новых сотрудников, которые помогут нам выйти на новый уровень! Если вы хотите присоединиться к дальновидной, быстрорастущей организации, для которой помощь людям является целью номер один, мы хотим услышать ваше мнение.

Обзор ролей

Как наш инженер по безопасности приложений, вы будете основным владельцем и драйвером нашей программы безопасности приложений. Вы будете работать вместе с командами инженеров над внедрением методов безопасной разработки, улучшением инструментов и автоматизации, а также учитывать вопросы безопасности для новых функций, архитектур и сервисов.

Это важная роль, на которой вы будете формировать будущее AppSec в компании, которая ценит безопасность как основную часть качества продукта.

Что ты будешь делать

Право собственности на безопасность приложений

• Руководить и развивать стратегию безопасности приложений компании, дорожную карту и повседневную деятельность.

• Выступать в качестве основного партнера AppSec для многочисленных команд разработчиков, работающих над веб-приложениями Ruby on Rails, мобильными приложениями React Native и различными другими проектами, включая Python и Go.

• Предоставлять рекомендации по безопасности во время проектирования, разработки и проверки кода для новых функций и проектов.

• Способствовать внедрению методов безопасного кодирования и моделирования угроз в группах инженеров.

Оснастка и автоматизация

• Управлять и оптимизировать существующие инструменты AppSec, включая:

• Расширенная безопасность GitHub (SAST, SCA, секретное сканирование).

• Инвикти (DAST)

• Адриан (ASM)

• AppDome (безопасность мобильных приложений)

• Cloudflare WAF

• Улучшить автоматизацию и интеграцию инструментов безопасности в конвейеры CI/CD.

• Определить и внедрить дополнительные инструменты или процессы для повышения уровня безопасности.

Безопасный SDLC и поддержка разработчиков

• Создавать и поддерживать стандарты безопасной разработки, руководства и учебные материалы.

• Сотрудничайте с командами инженеров при планировании спринтов и разработке функций для упреждающего устранения рисков.

• Проводить проверки безопасности, оценки кода и сортировку уязвимостей вместе с командами разработчиков.

Сотрудничество в облаке и DevOps

• Работайте с DevOps, чтобы обеспечить безопасное развертывание и настройку инфраструктуры AWS.

• Вносить вклад в усиление усилий по ECS, IAM, сетям и поддержке облачных сервисов.

• Помощь в разработке и поддержке безопасных рабочих процессов CI/CD.

Управление инцидентами и уязвимостями

• Руководить или поддерживать расследование и устранение уязвимостей на уровне приложений.

• Мониторинг, определение приоритетов и отслеживание результатов, полученных с помощью инструментов SAST/DAST/ASM.

• Сотрудничать с инженерами для обеспечения своевременного и эффективного устранения неполадок.

Что мы ищем

Требуемые навыки и опыт

• Опыт работы от 3 до 7 лет в сфере безопасности приложений, безопасности продуктов или на соответствующих инженерных должностях.

• Глубокое понимание методов безопасного кодирования, распространенных уязвимостей (ТОП-10 OWASP) и современного SDLC.

• Опыт работы с облачными приложениями, в идеале в AWS.

• Понимание SSL-сертификатов и управления криптографическими ключами.

• Практический опыт работы с SAST, DAST, WAF и/или инструментами безопасности мобильных приложений.

• Способность эффективно сотрудничать с разработчиками и влиять на безопасные проектные решения.

• Знакомство с рабочими процессами на базе GitHub и конвейерами CI/CD.

Приятно иметь

• Опыт разработки с Ruby on Rails или аналогичными динамическими языками.

• Знание AWS ECS/EKS, безопасности контейнеров, управления секретами и инфраструктуры как кода (CloudFormation, Terraform).

• Опыт создания или развития программы AppSec на ранних стадиях.

• Опыт автоматизации и написания сценариев SOAR.

• Опыт работы в среде, соответствующей требованиям PCI, при работе с годовой отчетностью.

Идеальный кандидат

Идеальный кандидат измеряет успех снижением риска, отсутствием закрытых билетов и стремится к безопасному проектированию и простым ограждениям перед другим сканером или воротами. Они думают как злоумышленники, но привносят в свое сотрудничество с разработкой мышление разработчика, соединяя точки кода приложения, облачной инфраструктуры и конвейера, а не рассматривая каждую из них как отдельный домен. Инженеры доверяют своим техническим суждениям, и когда что-то блокируется, они предлагают предлагаемый путь вперед.

#LI-LB2

Базовый диапазон годовой зарплаты указан ниже. Эта должность имеет право на дополнительные стимулы, включая ежегодный бонус.

Базовый диапазон зарплат

140 000–165 000 долларов США

Зачем присоединяться к нам?

Пока вы меняете жизнь других, мы будем работать над тем, чтобы изменить ситуацию для вас, обеспечивая вдохновляющую рабочую среду для сотрудничества и преимущества, которые отражают вашу ценность для нас. Для сотрудников, работающих полный рабочий день, мы предлагаем:

• Значительные взносы работодателя на программы здравоохранения, стоматологии и зрения.

• Щедрый отпуск, оплачиваемый отпуск и оплачиваемый отпуск по уходу за ребенком.

• Программа сопоставления 401(k)

• Возможности карьерного роста

• Карьерный рост и обучение

И, наконец, наш командный дух и культура! Мы культивируем атмосферу общности, связи и принадлежности во всей нашей организации.

Beyond Finance не принимает нежелательные резюме от отдельных рекрутеров или сторонних рекрутинговых агентств на вакансии. Никакие сборы не будут выплачиваться их сторонам, которые представляют незапрошенных кандидатов непосредственно сотрудникам Beyond Finance или HR-команде Beyond Finance. Плата за размещение не будет выплачиваться какой-либо третьей стороне, если такой запрос не был сделан командой Beyond HR.

Источник: Jobicy (https://jobicy.com/jobs/154682-senior-application-security-engineer-3).