Штатный инженер по безопасности приложений

Apollo .io — это ведущее решение для выхода на рынок для коммерческих отделов, которому доверяют более 500 000 компаний и миллионы пользователей по всему миру, от быстрорастущих стартапов до крупнейших предприятий мира. Основанная в 2015 году, компания является одной из самых быстрорастущих компаний в сфере SaaS. На сегодняшний день она привлекла около 250 миллионов долларов США и оценивается в 1,6 миллиарда долларов США. Apollo .io предоставляет отделам продаж и маркетинга легкий доступ к проверенным контактным данным более чем 210 миллионов контактов B2B и 35 миллионов компаний по всему миру, а также инструменты для привлечения и преобразования этих контактов на одной унифицированной платформе. Помогая специалистам по доходам найти самую точную контактную информацию и автоматизируя процесс работы с клиентами, Apollo .io превращает потенциальных клиентов в клиентов. Apollo привлекла серию D в 2023 году и поддерживается ведущими инвесторами, включая Sequoia Capital, Bain Capital Ventures и другими, а в число членов совета директоров входит бывший президент и главный операционный директор Hubspot Джей Ди Шерман.

Обзор ролей
Штатный инженер по безопасности приложений возглавляет стратегию безопасности приложений в отделе безопасности Apollo и реализует ее посредством практической работы и технического руководства. Эта роль берет на себя самые сложные проблемы AppSec, связанные с продуктами, платформами и функциями искусственного интеллекта, включая проблемы с отсутствием установленного сценария.
Эта роль формирует планы действий групп разработчиков, продуктов и платформ, поэтому шаблоны безопасности становятся стандартом по умолчанию, а также устанавливает стандарт AppSec, который помогает многим командам создавать безопасные решения, не полагаясь на кого-то одного.
Ключевые обязанности
Стратегия, стандарты и влияние AppSec

• Возглавить многолетнюю стратегию Apollo по обеспечению безопасности приложений и превратить ее в межкомандные инициативы, рассчитанные на несколько кварталов и способствующие повышению эффективности работы отдела безопасности. Регулярно сообщайте руководству службы безопасности о прогрессе, рисках и компромиссах.

• Формируйте дорожные карты проектирования, продуктов, платформ и данных, что позволяет заблаговременно планировать работу по обеспечению безопасности и представлять интересы AppSec в межведомственных решениях.

• Установить стандарты безопасного проектирования, проверки кода и модели рисков, используемые в отделе и смежных инженерных группах, включая требования к коду, генерируемому ИИ и агентами.

• Наставляйте старших инженеров и чемпионов по безопасности, расширяйте программу чемпионов и помогайте поднять планку найма, чтобы программа AppSec не зависела от опыта одного человека.

Безопасная архитектура и глубина уязвимостей

• Проводить обзоры архитектуры безопасности и моделирование угроз для неоднозначных, крупномасштабных многокомандных систем, включая функции искусственного интеллекта и агентов, и определять подход там, где не существует прецедентов.

• Разрабатывайте и внедряйте стандартные блоки, защищенные по умолчанию, такие как общая авторизация, безопасная обработка OAuth и токенов, а также SSRF-безопасные HTTP-клиенты, чтобы целые классы проблем перестали возникать.

• Сформируйте управление уязвимостями с помощью внутренних проверок, вознаграждения за обнаружение ошибок, пентестов, а также результатов SCA и выполнения во время выполнения, уделяя особое внимание первопричинам, классам ошибок и четким решениям о серьезности с учетом рисков.

• Оставайтесь на связи в самых сложных случаях: читайте код в разных группах, разрабатывайте эксплойты, тестируйте обходные пути, а также проводите анализ вариантов и поэтапное устранение проблем между командами.

Инструменты, автоматизация и искусственный интеллект (по умолчанию встроенный искусственный интеллект)

• Установите стандарт безопасности приложений с использованием искусственного интеллекта в своем отделе. Используйте искусственный интеллект и агенты для проверки кода, моделирования угроз, сортировки и устранения угроз, а также создавайте автоматизацию, которую внедряют команды, не относящиеся к службе безопасности, с ощутимым выигрышем в скорости, покрытии и качестве сигнала.

• Определите, как Apollo защищает свои системы искусственного интеллекта и функции агентов, включая обработку входных и выходных данных, API-интерфейсы, доступные для искусственного интеллекта, защитные меры для подсказок и ответов, разрешения инструментов и пути утечки данных.

Как выглядит добро (взято из разделов «Миссия» и «Успех»).

• Владеет стратегией AppSec на многолетнюю перспективу и внедряет ее в дорожные карты других команд.

• Решает неоднозначные, нестандартные проблемы и определяет подход, которому должны следовать другие.

• Делает жесткие призывы к риску в условиях двусмысленности и объединяет технических и нетехнических лидеров без официальных полномочий.

• Создает барьеры, стандарты и людей, поэтому AppSec может масштабироваться за пределы одного человека.

Требуемые навыки и опыт

• Послужной список ведущей стратегии AppSec, которая изменила подходы нескольких инженерных групп к построению, с измеримыми результатами, обычно подкрепленными более чем 10-летним опытом разработки программного обеспечения или безопасности приложений.

• Экспертный анализ кода, тестирование на проникновение и использование навыков разработки с возможностью находить недостатки дизайна в незнакомых базах кода и вносить исправления, которые выдерживают попытки обхода.

• Сильные навыки разработки программного обеспечения и способность поставлять рабочий код. Опыт Ruby и Ruby on Rails очень ценен, а Python является плюсом. Прочные основы Linux и облачных технологий, в идеале GCP и Kubernetes.

• Глубокий опыт работы с безопасной архитектурой, шаблонами аутентификации и авторизации, а также с построением строительных блоков безопасности, которые используют другие команды.

• Практический опыт обеспечения безопасности систем или функций агентов на базе ИИ, а также четкое представление о том, как ИИ меняет безопасность приложений.

• Решение делать жесткие призывы к риску в условиях двусмысленности и влияние на согласование технических и нетехнических лидеров без официальных полномочий.

Предпочтительные квалификации

• Ощутите ведущую безопасность для продуктов на базе искусственного интеллекта, внутренних агентов или рабочих процессов проектирования с использованием искусственного интеллекта в любом масштабе.

• Опыт создания или масштабирования программы поддержки защитников безопасности или разработчиков.

• Работа в области общественной безопасности, такая как CVE, исследования, переговоры или инструменты с открытым исходным кодом, или сертификация, такая как OSCP или OSWE.

Пример успешных результатов

• Стратегия AppSec, привязанная к KR отдела безопасности, с поддержкой работы, предусмотренной дорожными картами других команд.

• Измеримое снижение классов уязвимостей высокого риска, подкрепленное общими средствами защиты или библиотеками.

• Рабочие процессы AppSec с помощью искусственного интеллекта, принятые командами, не относящимися к службе безопасности, с явным выигрышем в скорости или качестве сигнала.…

Источник: Гималаи (https://himalayas.app/companies/apollo/jobs/staff-application-security-engineer).