Штатний інженер із безпеки програм

Apollo .io — це провідне рішення для виходу на ринок для команд з доходів, якому довіряють понад 500 000 компаній і мільйони користувачів у всьому світі, від стартапів, що швидко розвиваються, до деяких із найбільших компаній світу. Заснована в 2015 році, компанія є однією з найбільш швидкозростаючих компаній у SaaS, залучивши приблизно 250 мільйонів доларів на сьогоднішній день і оцінивши її в 1,6 мільярда доларів. Apollo .io надає відділам продажів і маркетингу легкий доступ до перевірених контактних даних для понад 210 мільйонів B2B-контактів і 35 мільйонів компаній у всьому світі, а також інструменти для залучення та конвертації цих контактів на одній уніфікованій платформі. Допомагаючи фахівцям із доходів знаходити найточнішу контактну інформацію та автоматизуючи процес охоплення, Apollo .io перетворює потенційних клієнтів на клієнтів. У 2023 році компанія Apollo створила серію D і має підтримку провідних інвесторів, у тому числі Sequoia Capital, Bain Capital Ventures тощо, а також колишнього президента та головного операційного директора Hubspot Дж. Д. Шермана серед членів правління.

Огляд ролі
Штатний інженер із безпеки додатків керує стратегією безпеки додатків для відділу безпеки Apollo та забезпечує її шляхом практичної роботи та технічного керівництва. Ця роль бере на себе найскладніші проблеми AppSec у різних продуктах, платформах і функціях на базі штучного інтелекту, включно з проблемами, у яких немає встановленого посібника.
Роль формує дорожні карти команд розробки, продукту та платформи, щоб безпечні шаблони стали типовими, і встановлює стандарт AppSec, який допомагає багатьом командам безпечно будувати, не покладаючись на жодну людину.
Основні обов'язки
Стратегія, стандарти та вплив AppSec

• Очолюйте багаторічну стратегію AppSec компанії Apollo та перетворюйте її на багатоквартальні міжкомандні ініціативи, які переміщують KR відділу безпеки. Регулярно повідомляйте про прогрес, ризики та компроміси керівництву служби безпеки.

• Сформуйте дорожні карти розробки, продукту, платформи та даних, щоб робота з безпеки планувалася на ранній стадії та представляла AppSec у міжвідомчих рішеннях.

• Встановіть стандарти безпечного проектування, перевірки коду та моделі ризику, які використовуються у відділі та суміжних інженерних командах, включаючи очікування щодо коду, створеного ШІ та агентами.

• Наставляйте старших інженерів і лідерів безпеки, розвивайте програму чемпіонів і допомагайте підняти планку найму, щоб програма AppSec не залежала від досвіду однієї людини.

Безпечна архітектура та глибина вразливості

• Керувати аналізом архітектури безпеки та моделюванням загроз для неоднозначних, масштабних, багатокомандних систем, включаючи функції ШІ та агентів, і визначати підхід там, де немає прецедентів.

• Розробляйте та стимулюйте впровадження безпечних за замовчуванням будівельних блоків, таких як спільна авторизація, безпечна обробка OAuth і маркерів, а також SSRF-безпечні HTTP-клієнти, щоб цілі класи проблем не з’являлися.

• Сформуйте управління вразливістю за допомогою внутрішніх перевірок, винагород за помилки, пентестів, SCA та результатів виконання, зосереджуючись на першопричинах, класах помилок і чітких рішеннях щодо серйозності на основі ризику.

• Залишайтеся практичними для найскладніших випадків: читайте код командами, розробляйте експлойти, тестуйте обхідні шляхи, керуйте аналізом варіантів і поетапним виправленням у командах.

Інструменти, автоматизація та штучний інтелект (за замовчуванням вбудований штучний інтелект)

• Встановіть стандарт для доповненого ШІ AppSec у відділі. Використовуйте штучний інтелект та агенти для перевірки коду, моделювання загроз, сортування та виправлення, а також створюйте автоматизацію, яку застосовують команди за межами служби безпеки, із вимірюваним збільшенням швидкості, покриття та якості сигналу.

• Визначте, як Apollo захищає свої системи штучного інтелекту та функції агента, включно з обробкою введення та виведення, відкритими для штучного інтелекту API, огорожами підказок і відповідей, дозволами інструментів і шляхами вилучення даних.

What Good Looks Like (на основі ваших розділів про місію та успіх)

• Володіє стратегією AppSec на багаторічний горизонт і бере участь у планах інших команд.

• Вирішує неоднозначні проблеми, які не стосуються ігор, і визначає підхід для інших.

• Звертає увагу на жорсткі ризики в умовах неоднозначності та узгоджує технічних і нетехнічних лідерів без офіційних повноважень.

• Створює огорожі, стандарти та людей, тому AppSec масштабується за межі однієї людини.

Необхідні навички та досвід

• Послужний список провідної стратегії AppSec, яка змінила спосіб створення кількома інженерними командами, з вимірними результатами, як правило, підкріпленими 10+ роками розробки програмного забезпечення або безпеки додатків.

• Експертний аналіз коду, тестування на проникнення та використання навичок розробки, з можливістю пошуку недоліків у незнайомих кодових базах і виправленнях, які витримують спроби обходу.

• Сильні навички розробки програмного забезпечення та здатність доставляти робочий код. Досвід роботи з Ruby та Ruby on Rails дуже цінний, а Python — плюс. Сильні основи Linux і хмари, в ідеалі GCP і Kubernetes.

• Глибокий досвід із захищеною архітектурою та шаблонами автентифікації та авторизації, а також зі створенням будівельних блоків безпеки, які застосовують інші команди.

• Практичний досвід захисту систем або агентських функцій на базі штучного інтелекту та чітка точка зору на те, як ШІ змінює безпеку програм.

• Рішення робити жорсткі ризики в умовах неоднозначності та вплив на узгодження технічних і нетехнічних лідерів без офіційних повноважень.

Бажані кваліфікації

• Відчуйте найкращу безпеку для продуктів на основі штучного інтелекту, внутрішніх агентів або масштабних робочих процесів за допомогою штучного інтелекту.

• Досвід створення або масштабування чемпіонів безпеки або програми підтримки розробників.

• Робота у сфері громадської безпеки, наприклад CVE, дослідження, бесіди або інструменти з відкритим кодом, або сертифікати, такі як OSCP або OSWE.

Приклад результатів успіху

• Стратегія AppSec, пов’язана з KR відділу безпеки, із допоміжною роботою, виконаною в дорожніх картах інших команд.

• Відчутне зниження класів уразливості високого ризику за підтримки спільних огорож або бібліотек.

• Робочі процеси AppSec із підтримкою штучного інтелекту, прийняті командами поза межами безпеки, з явним приростом швидкості та якості сигналу.…

Джерело: Himalayas (https://himalayas.app/companies/apollo/jobs/staff-application-security-engineer)