Старший інженер безпеки

привіт Я Джордж 👋, керівник відділу платформи та інфраструктури WeTravel.
Я приєднався до WeTravel, щоб допомогти створити безпечне, надійне та масштабоване ІТ-середовище в міру нашого розвитку. Місія нашої команди — надати кожному співробітнику WeTravel інструменти та підтримку, необхідні для ефективної, безпечної та безперешкодної роботи — незалежно від того, де вони знаходяться у світі.

Про WeTravel:
Подумайте про найнеймовірніші пригоди, які тільки можна уявити: похід до Мачу-Пікчу, прогулянка Тосканою на велосипеді чи сафарі в Кенії. Протягом багатьох років малі підприємства та місцеві експерти, які керують цими поїздками, застрягли в безладних електронних таблицях, незліченних електронних листах і складних методах оплати.
WeTravel змінює це. Ми створюємо інструменти, які дають змогу будь-якому підприємцю започаткувати та розвивати власний туристичний бізнес. Наша платформа дозволяє організаторам легко створювати чудові пропозиції щодо подорожей, безпечно обробляти платежі та керувати своїми клієнтами, щоб вони могли зосередитися на тому, що вони вміють найкраще: створювати неймовірні враження.
Це один з останніх великих рубежів подорожей, який з’явився в Інтернеті, і як лідер категорії ми знаходимося в авангарді цих змін. Лише минулого року нашій платформі довірили 8000 організаторів, щоб повести понад мільйон мандрівників у пригоди в 150+ країнах. Зараз ми знаходимося на захоплюючій подорожі, щоб вирости з 1 мільярда доларів США до 10 мільярдів доларів США на подорожі на рік.
Ми віримо, що кожна поїздка, якщо вона зроблена правильно, може принести користь, і ми створюємо двигун, щоб зробити це можливим.

Яка роль:

• Власне управління вразливістю інфраструктури. Єдиний центральний реєстр інфраструктурних залежностей, контейнерів, зображень і хмарної інфраструктури. Угоди про рівень обслуговування на основі ризиків, відстеження до закриття, обробка винятків і звітування, які ми можемо поставити перед інженерним керівництвом і групою безпеки корпоративного клієнта, працюючи в рамках системи безпеки продукту та ризиків. Один реєстр, одна модель скорингу.

• Розставте пріоритети для відновлення інфраструктури, використовуючи контекстні сигнали ризику, такі як KEV, EPSS, ризик, критичність активів і відповідні компенсаційні засоби контролю в рамках загальної моделі серйозності.

• Автоматизуйте робочі процеси безпеки інфраструктури: інтеграція сканера, пошук конвеєрів, нормалізація, маршрутизація квитків і звітування. Якщо число потрібно складати вручну щокварталу, це не робиться. Долучайтеся до спільних робочих процесів пошуку безпеки, де це необхідно.

• Створіть наш фундамент виявлення. Охоплення журналів безпеки та збереження в робочих, хмарних і ідентифікаційних системах; виберіть і запустіть партнера з керованого виявлення та відповіді; переконатися, що необхідна їм телеметрія існує та виживає. Ви не можете виявити те, що не записуєте, і закрити цю прогалину належить вам.

• Провідне керування інфраструктурою та хмарною безпекою з нашою командою платформи: захист хмарних облікових записів, посилення базових показників, сортування результатів CSPM, інвентаризація поверхні в Інтернеті, безпека зображень і контейнерів.

• Координуйте реагування на інциденти безпеки: збірники класифікації інцидентів, настільні вправи та коригувальні дії після інцидентів. Співпрацюйте з Product Security щодо інцидентів, пов’язаних із вразливістю продукту або ризиком, пов’язаним із продуктом.

• Співпрацюйте з продуктами, розробниками платформи та ІТ для відновлення. Результати надходять сортованими, дедуплікованими та поясненими. Черга, якій не довіряють інженери, гірша, ніж відсутність черги.

• Надати технічні докази наших зобов’язань SOC 2, PCI DSS і належної перевірки клієнта — перевірки доступу, результати сканування, відповідність виправлень. Ви не будете володіти анкетами чи відносинами аудиту.

• Співпрацюйте з командами продукту та платформи та підтримуйте обговорення безпеки з клієнтами за допомогою точних технічних доказів і контексту.

Пов’язані з AI

• Брати участь у підтримці та введенні в дію внутрішньої політики використання штучного інтелекту та програми

• Захистіть внутрішні інструменти штучного інтелекту та агентські робочі процеси: які дані можуть отримати агенти, як визначаються ідентифікаційні дані, облікові дані та дозволи інструментів, що реєструється та як виявляється невідповідна поведінка агента

• Зробіть агентські робочі процеси доступними для аудиту: хто або що діяв, до яких даних та інструментів отримували доступ і під якою особою.

Як ми працюємо:
Ми зосереджені на впливі. Ми не підтримуємо якусь одну структуру чи ідеологію виконання й адаптуємося залежно від того, що має вплив. Ми використовуємо найновіше обладнання та постійно шукаємо кращі інструменти та способи роботи
Стек: ми використовуємо React/ReactNative/TypeScript + Ruby on Rails, Go та мікросервіси Python на Kubernetes. Ми також використовуємо та любимо MongoDB, MySQL, Postgres, Snowflake і співпрацюємо з основними постачальниками LLM.

Ви повинні подати заявку, якщо у вас є:

• 8+ років у розробці безпеки, із справжньою глибиною в операціях із забезпечення безпеки: керування вразливими місцями, захист безпеки в хмарі, виявлення та реагування на інциденти.

• Досвід роботи з AWS і Kubernetes, а також здатність міркувати про інфраструктуру як код.

• Досвід із ведення журналів безпеки та інструментів класу SIEM, а також роботи через постачальника керованого виявлення.

• Практичний досвід управління вразливістю інфраструктури в масштабі: сканування парків, зображень, контейнерів і залежностей, визначення пріоритетів за можливістю використання (KEV, EPSS, експозиція, критичність активів) і керування виправленням за допомогою команд, які володіють системами

• Досвід роботи з технічним контролем SOC 2 та/або PCI DSS.

Приємно мати

• Досвід забезпечення платежів або регульованих фінтех-систем.

• Техніка виявлення, моделювання загроз або досвід DFIR.

• Вплив нормативних зобов’язань ЄС (GDPR, ст. 33/34, Закон про захист від кібернетичного впливу) і ISO27001

• Досвід у продуктовій компанії, яка масштабується від середніх клієнтів до корпоративних клієнтів.

Розділ переваг

• Конкурентна заробітна плата

• Щедра політика «Час для перезарядки» — насолоджуйтеся необмеженою оплачуваною відпусткою, щоб відпочити, відновити сили та проявити себе якнайкраще.…

Джерело: Arbeitnow (https://www.arbeitnow.nl/jobs/companies/wetravel/senior-security-engineer-amsterdam-495583)