Штатний інженер безпеки

У Beyond Finance наша місія полягає в тому, щоб допомогти звичайним американцям уникнути нескінченного циклу руйнівних боргів і зробити крок у світле фінансове майбутнє. Завдяки співчутливому, індивідуальному догляду, культурі, зосередженій на відповідності й етиці, орієнтованій на користувача технології та індивідуальних фінансових рішеннях ми допомогли понад 1 мільйону клієнтів на їхньому шляху до світлого майбутнього.

Хоча ми пишаємося тим, чого ми вже досягли, ми шукаємо нових співробітників, які допоможуть нам вийти на наступний рівень! Якщо ви прагнете приєднатися до перспективної організації, яка швидко розвивається, головною метою якої є допомога людям, ми хочемо почути вашу думку.

Огляд ролі

Як штатний інженер із безпеки, ви на ранній стадії залучитесь до команди розробки продуктів і програмного забезпечення, щоб вбудувати безпеку в нашу архітектуру та процеси під час проектування, створення та доставки. Ви також станете тим, кого команда безпеки зможе залучити до будь-якого проекту, на будь-якій стадії та незалежно від домену, щоб забезпечити правильний результат безпеки.

Це практична роль, і вам не потрібно бути експертом у всіх трьох сферах: безпека додатків, хмарна безпека, автоматизація та інструменти безпеки. Ви повинні володіти сильною, продемонстрованою глибиною в одному з трьох, а також достатніми робочими знаннями двох інших, щоб робити внески без сторонніх зусиль і бути довіреним голосом щодо технічних рішень поза системами, якими ви володієте особисто.

Що ви зробите

• Співпрацюйте з Engineering, DevOps і Product у різних проектах, забезпечуючи безпеку на будь-якому етапі проектування чи створення, незалежно від домену.

• Керуйте безпечним дизайном і переглядом коду для веб- і мобільних програм, а також допомагайте керувати основними інструментами AppSec (SAST, SCA, секретне сканування, DAST, ASM і інструменти мобільної безпеки).

• Допомагайте сортувати та виправляти вразливості на рівні додатків за допомогою команд інженерів.

• Зробіть внесок у хмарну безпеку в середовищі AWS, включно з IAM, сегментацією мережі, безпекою контейнерів, секретами та розкриттям даних, використовуючи CNAPP та власні інструменти AWS.

• Підтримуйте керування вразливістю хмари та додатків, а також допомагайте налаштовувати правила WAF за потреби.

• Створення автоматизації та внутрішнього інструментарію, головним чином на Python, що зменшує ручну роботу для команди безпеки.

• Сприяти конвеєрам журналу безпеки, виявленням SIEM і елементам керування безпекою кінцевих точок.

• Допомогти вбудувати перевірки безпеки, такі як сканування та виявлення секретів, у конвеєри CI/CD у партнерстві з DevOps.

• Сприяти безпечній розробці та стандартам інфраструктури, підручникам і допоміжним матеріалам, які використовуються в розробці.

Що ми шукаємо

Вимоги

• 8+ років практичного досвіду інженерної безпеки.

• Сильна, продемонстрована глибина в одному з наступного, з практичним знанням двох інших: безпека додатків, хмарна безпека або автоматизація безпеки та інструменти.

• Практичні знання моделювання загроз.

• Працює незалежно та керує проектами без повсякденного контролю.

Приємно мати

• Глибша експертиза в більш ніж одному з наступного: безпека додатків (інструменти SAST/DAST/ASM, захищений SDLC), безпека в хмарі (AWS IAM, мережа, оркестровка контейнерів, керування станом на основі CNAPP) або автоматизація безпеки (інструменти Python, конвеєри журналів, розробка виявлення SIEM).

• Практична інфраструктура як досвід коду, в ідеалі Terraform.

• Досвід червоної команди або нападу безпеки.

• Досвід роботи в середовищі фінансових послуг, що регулюється PCI.

• Досвід безпеки мобільних додатків.

• Виявлення безпеки AI/ML: миттєве впровадження, пошкодження даних, зловживання моделлю та засоби контролю, які їх пом’якшують.

• Безпека ідентичності як людської, так і нелюдської ідентичності.

• Досвід розробки з Ruby on Rails, Python, Go або подібними мовами.

Ідеальний кандидат

Ідеальний кандидат оцінює успіх зниженим ризиком, а не закритими квитками. Вони розуміють, як зловмисник підійде до системи, і використовують це розуміння, щоб віддати перевагу безпечному дизайну та простим огорожам, а не додаванню додаткових сканерів або воріт для затвердження. Вони розглядають код програми, хмарну інфраструктуру, ідентифікацію та конвеєр як одну підключену систему, а не як окремі проблеми.

Ця людина ініціативна. Враховуючи неоднозначну проблему, вони визначають найефективніший фрагмент і починають працювати над ним, а не чекають на повну заявку, і вони радше нададуть часткове виправлення зараз і покращать його з часом, ніж витрачатимуть місяці на ідеальний дизайн. Коли потрібне виправлення в системі, якою вони не володіють, вони самі вносять зміни, перевіряють їх і надсилають, замість того, щоб подавати запит і чекати на когось іншого.

Інженери довіряють судженню цієї людини. Вони виявляють погану конструкцію, крихку систему чи неврахований ризик ще до того, як її надсилають, і позначають потенційних блокувальників досить рано, щоб розробляти їх навколо, а не обходити їх пізніше.

Чому варто приєднатися до нас

• Роль високого володіння з можливістю впливу на архітектуру, інструменти та процеси за межами вашого домену.

• Робота охоплює безпеку додатків, безпеку в хмарі та автоматизацію безпеки, а не в одній смузі.

• Сучасне інженерне середовище з сильною підтримкою керівництва безпеки.

• Конкурентоспроможна винагорода, переваги та можливості зростання.

Діапазон базового річного окладу вказано нижче. Ця посада має право на додаткові заохочення, включаючи річну премію.

Діапазон базової зарплати

$160 000—$195 000 доларів США

Чому приєднатися до нас?

У той час як ви змінюєте ситуацію для інших, ми працюватимемо над тим, щоб змінити ситуацію для вас, забезпечуючи сприятливе робоче середовище для співпраці та переваги, які відображатимуть вашу цінність для нас. Для штатних працівників, які відповідають вимогам, ми пропонуємо:

• Значні внески роботодавця на програми охорони здоров'я, стоматології та зору

• Щедрий PTO, оплачувана відпустка та оплачувана відпустка по догляду за дитиною

• Програма зіставлення 401(k).

• Можливості просування по заслугах

• Розвиток кар'єри та навчання…

Джерело: Jobicy (https://jobicy.com/jobs/155261-staff-security-engineer)