Інженер безпеки, Заявка

Firmus Technologies

Firmus Technologies є світовим лідером у розробці та експлуатації ефективної інфраструктури ШІ в Азіатсько-Тихоокеанському регіоні.

Заснована в Австралії у 2019 році, наша місія полягає у створенні найефективнішої інфраструктури штучного інтелекту шляхом поєднання передових технологій із непохитною прихильністю до сталого розвитку.

У Firmus ми унікальні у своєму підході. Ми проектуємо, будуємо та керуємо цифровою інфраструктурою нового класу – AI Factory. Завдяки нашому технологічному підходу від моделі до мережі ми розширили межі систем рідинного охолодження кількох поколінь, управління енергією, оркестровки програмного забезпечення ШІ та будівництва. Для наших клієнтів такий підхід дозволяє нам враховувати кожен ват і доставляти недорогі токени ШІ по всьому світу.

Фірмус AI Cloud

Наша великомасштабна хмарна платформа GPU, Firmus AI Cloud, спеціально створена для надання клієнтам енергоефективних обчислень штучного інтелекту.

Він дає змогу розробникам, підприємствам, навчальним закладам і урядовим користувачам навчати та розгортати моделі ШІ з неперевершеною ефективністю та економією коштів. Завдяки постійно зростаючому набору послуг і додатків ми прагнемо запропонувати хмарний досвід, який є провідним на ринку, пропрієтарним і створеним для масштабування.

РЕЗЮМЕ РОЛЬ

Компанія Firmus Technologies шукає старшого інженера з безпеки для роботи в нашій команді інженерів і технологій. Ви володієте безпекою додатків для Firmus AI Cloud і внутрішнього програмного забезпечення, яке його запускає. Автоматизація – це те, як ви масштабуєте це право власності. Клієнти забезпечують обчислення графічного процесора через API та консоль, інженери програмного забезпечення будують на них, а наші оператори керують платформою через ту саму площину керування. Ви володієте безпекою цього програмного забезпечення: загальнодоступними API, службами, що стоять за ними, тим, як клієнти залишаються відокремленими всередині програми, а також помічниками та агентами штучного інтелекту, яких ми надсилаємо.

ОСНОВНІ ОБОВ'ЯЗКИ

Автоматизація та безпечна доставка

• Володійте воротами безпеки CI/CD, через які проходить кожне робоче сховище: SAST, DAST, SCA, виявлення секретів і генерація SBOM.

• Створюйте системи, які виконують повторювану роботу: пошук сортування, збільшення залежностей, збір доказів і проекти моделей загроз.

• Доставляйте безпечні дороги з твердим покриттям, на основі яких створюють інші команди: багаторазові бібліотеки, шаблони послуг та інструменти для розробників.

• Пишіть і переглядайте код у службах, які ви захищаєте, включно з критично важливими для безпеки шляхами, які інструменти пропускають.

Архітектура та стандарти безпеки

• Встановіть стандарт безпеки програми та контроль для автентифікації, авторизації між службами, ізоляції клієнта на межі програми, секретної обробки та журналювання.

• Провідне моделювання загроз і перевірка безпечного дизайну. Визначте, що може зробити зловмисник і що має бути правдою перед відправкою.

• Встановити вимоги безпеки для помічників і агентів ШІ, які ми надсилаємо, напр. швидка ін'єкція, контекстне отруєння.

• Вирішуйте, до яких інструментів і серверів інструментів можуть звертатися наші агенти штучного інтелекту та інженери програмного забезпечення, а також як ці інтеграції охоплюються, вносяться в список дозволених і перевіряються.

Гарантія та управління вразливістю

• Власна система безпеки додатків у наших службах: що охоплено, що відкрито, що прийнято з названим власником і терміном дії, а що прострочено.

• Приоритезуйте виправлення щодо можливості використання та ризику поряд із CVSS і дотримуйтеся їх угод про рівень обслуговування щодо вразливості Firmus.

• Керуйте виправленням разом із командами, які володіють кодом, щоб проблеми були близькі до джерела.

• Розширюйте SOC 2 Type 2 і ISO 27001 на шляху доставки програмного забезпечення в міру зростання послуг і сайтів. Доказом того, що контроль виконано, має бути запит, а не вправа в електронній таблиці.

Включення та ескалація

• Навчайте чемпіонів безпеки в кожній команді, щоб рішення щодо безпечного дизайну приймалися, не чекаючи на вас.

• Надайте експертні знання з безпеки додатків під час інцидентів і перетворите режими повторюваних збоїв у шлюзи, тести, стандарти або інструменти розробника.

• Дайте інженерному керівництву чітке ознайомлення з ризиками застосування та готовністю до випуску. Приєднуйтесь до розмов із клієнтами, коли йдеться про безпеку програми.

НАВИЧКИ ТА ДОСВІД

• Ступінь бакалавра інформатики або суміжної технічної галузі.

• 7+ років у сфері безпеки додатків, продуктів або розробки програмного забезпечення з акцентом на безпеку.

• Досвід захисту загальнодоступної хмари або мультитенантної платформи за допомогою публічного API.

• Глибокі практичні знання OWASP Top 10 і OWASP API Security Top 10. Має багатокористувальницькі API, змодельовані загрозами, у виробництві: ідентифікація, авторизація між службами, ізоляція клієнта та способи, як клієнт зловживає опублікованим контрактом за допомогою STRIDE або еквівалентного методу, як для REST, так і для gRPC.

• Покращено безпеку програмного забезпечення, створеного іншими командами інженерів за допомогою стандартів, інструментів, перегляду або шаблонів безпеки за замовчуванням.

• Володів шлюзами безпеки CI/CD у виробництві (SAST, DAST, SCA, виявлення секретів, SBOM) і налаштував їх, щоб надати дієві висновки з низьким рівнем хибно-позитивних результатів, яким інженери довіряли та реагували на них.

• Пише код продуктивної якості принаймні на Python, Go або TypeScript.

• Замінив ручну роботу безпеки на автоматизовану: пошук сортування, збільшення залежностей, збір доказів або регресійні тести, які виконуються без спостереження за ними.

• Практичні дії з підтримкою LLM або агентськими функціями: оперативне впровадження, неправильне використання інструменту, ідентифікація агента та делеговані облікові дані, витік даних між клієнтами та засоби контролю над згенерованим кодом, що досягає виробництва. Знайомі з інструкціями OWASP для LLM та агентських програм.

• Глибокий практичний досвід роботи з OAuth, OIDC, JWT, RBAC або ABAC, криптографією прикладного рівня, обробкою маркерів і секретами в програмному забезпеченні.

• Працював відповідно до SOC 2 Type 2 або ISO 27001 і може надати докази того, що контроль виконано.

• Бажання приєднатися до реагування на інциденти для захисту додатків і API.

• Готовність час від часу їздити за кордон, коли цього вимагає роль.…

Джерело: Arbeitnow (https://www.arbeitnow.co.uk/jobs/companies/security-engineer-application-greenhouse/security-engineer-application-sydney-australia-277577)