Kıdemli Uygulama Güvenliği Mühendisi

Apollo.io, hızla büyüyen girişimlerden dünyanın en büyük kuruluşlarına kadar dünya çapında 500.000'den fazla şirket ve milyonlarca kullanıcının güvendiği, gelir ekipleri için önde gelen pazara açılma çözümüdür. 2015 yılında kurulan şirket, SaaS'ın en hızlı büyüyen şirketlerinden biri olup bugüne kadar yaklaşık 250 milyon dolar gelir elde etmiş ve değeri 1,6 milyar dolar olmuştur. Apollo.io, satış ve pazarlama ekiplerine dünya çapında 210 milyondan fazla B2B iletişim kişisi ve 35 milyon şirket için doğrulanmış iletişim verilerine kolay erişim ve bu kişileri tek bir birleşik platformda etkileşime geçirmek ve dönüştürmek için araçlar sağlar. Apollo.io, gelir uzmanlarının en doğru iletişim bilgilerini bulmasına yardımcı olarak ve sosyal yardım sürecini otomatikleştirerek potansiyel müşterileri müşterilere dönüştürüyor. Apollo, 2023'te D serisini yükseltti ve aralarında Sequoia Capital, Bain Capital Ventures ve daha fazlasının da bulunduğu üst düzey yatırımcılar tarafından destekleniyor ve yönetim kurulu üyeleri arasında Hubspot'un eski Başkanı ve COO'su JD Sherman da yer alıyor.

Role Genel Bakış

Kıdemli Uygulama Güvenliği Mühendisi, Apollo'nun güvenli yazılım geliştirme yaşam döngüsünü güçlendirmekten ve ürün, platform ve yapay zeka destekli özellikler genelinde uygulama riskini azaltmaktan sorumlu kıdemli bir bireysel katılımcıdır.

Bu rol, derin kod düzeyindeki uygulama güvenliği çalışmasını işlevler arası güçlü ortaklıkla harmanlamaktadır. Uygulama güvenliği incelemelerini, tehdit modellemeyi, AppSec araçlarını, bulguların önceliklendirilmesini ve iyileştirme takibini, harici test alımını ve geliştirici etkinleştirmeyi içerir.

Bu rol, L6 kıdemli IC seviyesinde kalibre edilir: altı aylık veya yıllık hedeflere sahip olmak, belirsiz sorunları sağlam muhakeme ile çözmek, operasyonel süreçleri iyileştirmek ve ekipler arası anlamlı işbirliğini ve etkiyi teşvik etmek.

Temel Sorumluluklar

Güvenli SDLC, tasarım incelemesi ve tehdit modelleme

• Apollo uygulamaları için güvenli yazılım geliştirme yaşam döngüsüne sahip olun ve sürekli olarak iyileştirin; böylece güvenlik tasarım, uygulama ve dağıtım süreçlerine dahil edilir.

• Lansmandan önce yüksek etkili ürün, platform ve yapay zeka özellikleri için uygulama güvenliği incelemeleri, tehdit modelleme ve derin kod düzeyinde analiz gerçekleştirin.

• Mühendislik, Ürün ve BT ekiplerine pratik güvenlik mimarisi rehberliği sağlamak

• Yeni ve mevcut sistemler için uygulama güvenliği korkuluklarının, güvenli tasarım beklentilerinin, kod inceleme standartlarının ve risk modellerinin tanımlanmasına ve sürdürülmesine yardımcı olun.

Güvenlik açığı yönetimi ve uygulamalı iyileştirme

• Dahili incelemeler, hata ödülleri, sızma testleri, SCA/çalışma zamanı bulguları ve diğer araştırma sinyallerinde yürütme ağırlıklı güvenlik açığı yönetimini destekleyerek bulguların doğrulanmasını, önceliklendirilmesini, net bir şekilde yönlendirilmesini ve SLA'lar dahilinde iyileştirme ve doğrulama yoluyla izlenmesini sağlayın.

• Sorunları tanımlamanın ötesine geçin: kodu okuyun, temel nedeni açıklayın, en güvenli düzeltmeyi önerin ve karmaşık güvenlik açıkları için gerektiğinde iyileştirmeyi doğrudan uygulayın veya destekleyin.

• İyileştirmelerin yalnızca ilk belirtiden ziyade temel sorunu ele aldığını doğrulamak için, yararlanma geliştirme, bypass testi, karşıt düşünme ve odaklanmış kırmızı takım tarzı egzersizler de dahil olmak üzere uygulamalar ve düzeltmeler için uygulamalı doğrulama ve saldırgan güvenlik testleri gerçekleştirin.

• Kimlik doğrulama ve yetkilendirme zayıflıkları, erişim kontrolü riskleri, OAuth ve CSRF tasarım kusurları, SSRF, şifreleme ve doğrulama sorunları, bilgilerin ifşa edilmesi ve verilerin açığa çıkması riskleri, güvenli olmayan yürütme ve seri durumdan çıkarma kalıpları ve bağımlılık veya çalışma zamanı güvenlik açıkları dahil olmak üzere, modern SaaS ortamlarında yaygın olan çeşitli uygulama güvenliği sorunları üzerinde çalışın.

• Yararlanabilirlik, veri hassasiyeti, müşteri etkisi ve patlama yarıçapını kullanarak net, riske dayalı önem derecesi kararları uygulayın

Araç işleme, otomasyon ve yapay zeka

• SAST yapılandırması, yoksayma listeleri, gösterge tabloları ve aşırı gürültü olmadan kullanışlı kapsamı koruyan diğer kontroller dahil olmak üzere AppSec araçlarını ve entegrasyonlarını yapılandırın ve geliştirin.

• Manuel çabayı azaltan ve AppSec işlemlerini sorumlu bir şekilde ölçeklendiren güvenlik araçlarını, küçük otomasyonları ve iş akışı zenginleştirmelerini seçin, oluşturun veya iyileştirin.

• Güvenlik ve mühendislikle ilgili süreçleri otomatikleştirmek, dönüştürmek ve ölçeklendirmek için yapay zekayı kullanarak hızı, tutarlılığı veya sinyal kalitesini önemli ölçüde artırırken aynı zamanda güçlü mühendislik muhakemesi ile çıktıları doğrulayın.

• Giriş ve çıkış işleme, yapay zekaya maruz kalan API'ler, istem ve yanıt korkulukları ve kötüye kullanım veya veri sızdırma yolları dahil olmak üzere, SSDLC incelemelerine ve kod analizine yapay zekaya özgü güvenlik kontrolleri ekleyin.

• Yapay zeka sistemleri ve yapay zeka destekli özelliklerin güvenli bir şekilde tasarlanması, dağıtılması ve çalıştırılması için yapay zeka güvenlik gereksinimleri ve kontrolleri konusunda işlevler arası ortak olun.

Mühendislik olanağı ve ortaklık

• Güvenli kodlama, AppSec ve yapay zeka güvenliği içeriği de dahil olmak üzere mühendisler ve güvenlik şampiyonları için güvenlik olanaklarını destekleyin ve ölçeklendirin.

• Mühendislik ekiplerinin sorunları hızlı ve doğru bir şekilde çözmesine yardımcı olan eyleme dönüştürülebilir iyileştirme kılavuzu, güvenli modeller ve örnekler sağlayın.

• AppSec önceliklerini iş riski ve ürün hızıyla uyumlu tutmak için Mühendislik, Ürün, Platform, Veri, Hukuk ve diğer güvenlik ekipleriyle yakın işbirliği yapın.

• AppSec görünürlüğünü, gözlemlenebilirliğini ve karar verme sürecini geliştiren net belgeler, ölçümler ve yazılı anlatımlar üretin.

Ne Güzel Görünüyor

• Altı aylık veya yıllık bir ufukta anlamlı AppSec hedeflerine sahiptir ve belirsiz, açık uçlu sorunlara doğru çözümleri bağımsız olarak belirler.

• Ayrı bildirimlerin veya tek seferlik incelemelerin ötesinde ekipler arası işbirliğini ve operasyonel iyileştirmeleri teşvik eder

• Teknik ayrıntıları, iş bağlamını, müşteri güvenini ve uzun vadeli riski dengeleyerek bilinçli kararlar alır

• Sahiplenme, iletişim, mentorluk ve teknik muhakeme konusunda çıtayı yükseltir ve meslektaşların ve ortak ekiplerin verimliliğinin artırılmasına yardımcı olur.

Gerekli Beceri ve Deneyim…

Kaynak: Jobicy (https://jobicy.com/jobs/152253-senior-application-security-engineer-2)