Инженер по облачной безопасности

YGO.ai — это туристическая платформа с использованием искусственного интеллекта, финансируемая венчурным капиталом. Мы нанимаем инженера по облачной безопасности, который будет отвечать за безопасность нашей облачной платформы, API-интерфейсов, на которых работают наши корпоративные клиенты, и самой компании.

🛡️Об этой роли. Роль несет в себе две вещи одновременно. Вы владеете разработкой безопасности напрямую и на практике. Вы строите функцию безопасности вокруг этого по мере нашего роста. В YGO руководитель группы — это руководитель группы и представитель, близкий к работе и клиенту, а не штатный менеджер. Вы не перестанете быть инженером.
Работа обширная. Вы можете просмотреть исходный код утром, изучить предупреждение конечной точки после обеда и помочь разработать новый поток аутентификации на следующий день. Вы определяете проблемы с самым высоким риском, решаете, что произойдет в первую очередь, и выполняете.
Мы обслуживаем крупные туристические предприятия, и с начала 2027 года у нас есть корпоративные обязательства. Безопасность — это условие этого бизнеса, а не дополнительный уровень.

🧑‍💻 Что у вас будет

• Безопасность приложений. Практический обзор кода и архитектуры наших API, серверных служб и внутренних инструментов. Целевое тестирование на проникновение для самостоятельной проверки проблем. Работа с инженерами над основными причинами и практическими исправлениями, а не сдача отчетов. Управление уязвимостями и заказываемые нами внешние тесты на проникновение

• Обнаружение и реагирование. Зная, что мы находимся под атакой, пока это происходит, и что произойдет дальше. Оповещение, обнаружение вторжений, обработка инцидентов и маршрут вызова

• Усиление защиты облака и платформы. Контроль доступа, границы сети, управление секретами, контейнеры и конвейер развертывания. Безопасность через SDLC: CI/CD, репозитории и зависимости

• Безопасность наших API. Аутентификация и авторизация, изоляция арендаторов, область действия и жизненный цикл токена, предотвращение злоупотреблений, корпоративный единый вход и контрольный журнал, от которого зависят наши клиенты и наша собственная подотчетность.

• Безопасность наших систем искусственного интеллекта. Оперативное внедрение, разрешения для инструментов и агентов, наш сервер MCP, извлечение и прием данных. Правила хранения данных, которых мы придерживаемся по контракту

• Идентичность и безопасность компании. SSO, MFA и привилегированный доступ для сотрудников, подключение и отключение, проверки доступа, MDM, безопасность конечных точек и доступ SaaS. Практическая ИТ-безопасность, которая необходима компании нашего размера, не обсуждается.

• Надежная конструкция всех модулей. Моделирование угроз и анализ проекта, которые позволяют инженерам отказаться от контроля над ними и повышают стандарты того, что они поставляют.

• Сама функция безопасности. Установите приоритеты и дорожную карту, исходя из реального риска, а не театра безопасности. Решайте, что мы создадим, купим, автоматизируем или оставим на потом. Развивайте команду и нанимайте в нее сотрудников, обеспечивайте безопасность корпоративных клиентов и реализуйте нашу программу SOC 2 на Drata. Соблюдение требований является частью работы, а не ее центром.

🚢 Что вы обезопасите

• Система поиска и рекомендаций искусственного интеллекта для крупных туристических предприятий: корпоративная интеграция, единый вход, проверки безопасности клиентов, интеграция с GDS.

• API для обогащения контента, продаваемый как SaaS: крупномасштабный, общедоступный, большой объем данных и искусственного интеллекта.

• Платформа внизу: клиентская консоль с организациями, проектами и токенами API, интеграцией поставщиков и бизнес-клиентов, приемом данных, сервером MCP и несколькими поставщиками LLM за единой внутренней библиотекой.

📚 Наш стек

• Серверная часть: монорепозиторий (без платформы, более 3 сервисов).

• Данные: PostgreSQL, Redis, очередь Redis Asynq.

• Хостинг: контейнеры под управлением PaaS, впереди Cloudflare.

• Наблюдение: отслеживание Jaeger, BetterStack для ведения журнала, оповещений и вызова по вызову.

• Соответствие: Drata, SOC 2 в разработке.

• Инструменты искусственного интеллекта: Claude Code, используемый всей командой.

✅ У вас должно быть

• Более 5 лет практической работы в сфере безопасности, охватывающей более чем одну дисциплину. Не пять лет инженерной работы с некоторой безопасностью. Эта роль устанавливает стандарты для компании, поэтому ей нужен человек, который видел достаточно, чтобы иметь суждение, а не мнение.

• Глубина безопасности приложений. Вы знаете, как подвергаются атакам современные веб-приложения и API. Вы можете проверить проблему самостоятельно с помощью проверки кода или целевого теста на проникновение и работать с инженером над исправлением.

• Хорошее понимание аутентификации и авторизации. OAuth и OIDC, сеансы, обработка токенов, контроль доступа и режимы сбоев, лежащие в основе большинства взломов API

• Должные основы облачной безопасности. Безопасность идентификации, сети, рабочих нагрузок и конвейеров на современной облачной платформе, применимая к производственным системам, за которые вы несете ответственность.

• Опыт защиты наряду с наступлением. Вы расследовали реальные происшествия. Вы создали или улучшили систему обнаружения и оповещения, которая их ловит.

• Моделирование угроз и безопасная архитектура для облачных, контейнерных и API-систем.

• Инженерное образование. Вы чувствуете себя комфортно в базе кода, можете просмотреть то, что создают наши инженеры и наши инструменты искусственного интеллекта, и можете создать то, что вам нужно, самостоятельно. Наш бэкэнд — Go. Предыдущий опыт игры в Го является плюсом, а не обязательным требованием.

• Комфорт в условиях ограниченных ресурсов. Стартапы, небольшие команды по безопасности или консалтинговые компании научили вас расставлять приоритеты в отношении рисков, влияния на бизнес и доступных ресурсов и действовать самостоятельно.

• Желание создать команду. Вы хотите развивать эту функцию и в конечном итоге возглавить ее. Предыдущий опыт руководящей работы является плюсом, а не обязательным требованием. Мы предпочли бы иметь глубину и развивать лидерство, чем наоборот

• Навыки работы с Claude Code. Поделитесь конкретными примерами

• Суждение о темпе. Вы обеспечиваете компанию, которая осуществляет поставки ежедневно, не становясь причиной ее остановки. Ограждения над воротами

• Опыт работы с SOC 2, ISO 27001 или требовательные проверки безопасности предприятия.

• Отличный устный и письменный английский. Вы будете общаться с аудиторами, службами безопасности клиентов и нашими инженерами, часто на одной неделе.

• ⚠️ Часовые пояса Европы или Африки (±3 часа от центральноевропейского времени)

• Доступен полный рабочий день (40 часов в неделю).

🌟 Приятно иметь…

Источник: Arbeitnow (https://www.arbeitnow.com/jobs/companies/ygo/remote-cloud-security-engineer-291881).