Заголовок: Старший инженер по безопасности приложений Местоположение: США / Удаленно, США

Вознаграждение (Диапазон оплаты Уровня 1 (Сан-Франциско, Нью-Йорк, Сиэтл)): 218 600 – 273 200 долларов США в год Вознаграждение (Диапазон оплаты Уровня 2 (Все другие местоположения в США)): 190 100 – 237 600 долларов США в год

Apollo.io — это ведущее решение для команд по продажам и маркетингу, которому доверяют более 500 000 компаний и миллионы пользователей по всему миру, от быстрорастущих стартапов до крупнейших мировых предприятий. Основанная в 2015 году, компания является одной из самых быстрорастущих компаний в сфере SaaS, привлекшей около 250 миллионов долларов на сегодняшний день и оцененной в 1,6 миллиарда долларов. Apollo.io предоставляет командам продаж и маркетинга легкий доступ к проверенным контактным данным более чем 210 миллионов B2B-контактов и 35 миллионов компаний по всему миру, а также инструменты для взаимодействия с этими контактами и их конвертации на единой платформе. Помогая специалистам по продажам находить самую точную контактную информацию и автоматизируя процесс взаимодействия, Apollo.io превращает потенциальных клиентов в покупателей. В 2023 году Apollo привлекла раунд D и поддерживается ведущими инвесторами, включая Sequoia Capital, Bain Capital Ventures и др., а в число ее директоров входит бывший президент и главный операционный директор Hubspot JD Sherman.

Обзор роли

Старший инженер по безопасности приложений — это старший индивидуальный специалист, ответственный за усиление жизненного цикла безопасной разработки программного обеспечения Apollo и снижение рисков безопасности приложений в продуктах, платформах и функциях на базе ИИ.

Эта роль сочетает в себе глубокую работу по обеспечению безопасности приложений на уровне кода с сильным кросс-функциональным партнерством. Она включает в себя обзоры безопасности приложений, моделирование угроз, инструменты AppSec, триаж результатов и последующее устранение, обработку внешнего тестирования и обучение разработчиков.

Эта роль соответствует старшему уровню L6 (индивидуальный вклад): владение полугодовыми или годовыми целями, решение неопределенных проблем с помощью здравого суждения, улучшение операционных процессов и стимулирование значимого междисциплинарного сотрудничества и влияния.

Ключевые обязанности

Безопасный SDLC, обзор дизайна и моделирование угроз

Владеть и постоянно улучшать жизненный цикл безопасной разработки программного обеспечения для приложений Apollo, чтобы безопасность была встроена в дизайн, реализацию и развертывание.

Проводить обзоры безопасности приложений, моделирование угроз и глубокий анализ кода для важных продуктовых, платформенных и ИИ-функций перед запуском.

Предоставлять практические рекомендации по архитектуре безопасности командам инженеров, продуктовым командам и ИТ-командам.

Помогать определять и поддерживать механизмы обеспечения безопасности приложений, ожидания по безопасному дизайну, стандарты обзора кода и модели рисков для новых и существующих систем.

Управление уязвимостями и практическое устранение

Способствовать активному управлению уязвимостями в рамках внутренних обзоров, программ Bug Bounty, пентестов, результатов SCA/runtime и других сигналов исследований, обеспечивая валидацию, приоритизацию, четкую маршрутизацию и отслеживание результатов до их устранения и проверки в рамках SLA.

Выходить за рамки выявления проблем: читать код, объяснять первопричину, предлагать наиболее безопасное решение и напрямую реализовывать или поддерживать устранение сложных уязвимостей при необходимости.

Проводить практическую валидацию и тестирование безопасности приложений и исправлений с использованием методов атак, включая разработку эксплойтов, тестирование на обход защит, аналитическое мышление и сфокусированные упражнения в стиле red-team, чтобы подтвердить, что исправления решают основную проблему, а не только первоначальный симптом.

Работать с различными типами проблем безопасности приложений, распространенными в современных SaaS-средах, включая слабые места в аутентификации и авторизации, риски контроля доступа, недостатки дизайна OAuth и CSRF, SSRF, криптографические проблемы и проблемы проверки, раскрытие информации и риски утечки данных, небезопасные паттерны выполнения и десериализации, а также уязвимости зависимостей или во время выполнения.

Применять четкие, основанные на риске решения о степени серьезности, используя возможность эксплуатации, конфиденциальность данных, влияние на клиента и радиус поражения.

Инструменты, автоматизация и ИИ

Настраивать и улучшать инструменты и интеграции AppSec, включая настройку SAST, списки игнорирования, панели мониторинга и другие элементы управления, которые поддерживают полезное покрытие без избыточного шума.

Выбирать, создавать или совершенствовать инструменты безопасности, небольшие автоматизации и улучшения рабочих процессов, которые сокращают ручные усилия и ответственно масштабируют операции AppSec.

Использовать ИИ для автоматизации, трансформации и масштабирования процессов, связанных с безопасностью и инженерией, когда это значительно улучшает скорость, согласованность или качество сигналов, при этом проверяя результаты с помощью сильного инженерного суждения.

Включать специфичные для ИИ проверки безопасности в обзоры SSDLC и анализ кода, включая обработку входных и выходных данных, API, раскрытые ИИ, механизмы защиты промптов и ответов, а также пути злоупотребления или эксфильтрации данных.

Сотрудничать по кросс-функциональным вопросам, касающимся требований и механизмов безопасности ИИ, чтобы системы ИИ и функции на базе ИИ разрабатывались, развертывались и эксплуатировались безопасно.

Обучение инженеров и партнерство

Поддерживать и масштабировать обучение по вопросам безопасности для инженеров и специалистов по безопасности, включая материалы по безопасному кодированию, AppSec и безопасности ИИ.

Предоставлять практические рекомендации по устранению уязвимостей, безопасные паттерны и примеры, которые помогают командам инженеров быстро и правильно исправлять проблемы.

Тесно сотрудничать с командами инженеров, продуктовыми командами, платформами, данными, юридическими и другими командами по безопасности, чтобы приоритеты AppSec соответствовали бизнес-рискам и скорости выпуска продуктов.

Создавать четкую документацию, метрики и письменные описания, которые улучшают видимость, наблюдаемость и процесс принятия решений в области AppSec.

Что такое хороший результат

Владеть значимыми целями AppSec на полугодовой или годовой срок и самостоятельно находить правильные решения для неопределенных, открытых проблем.

Способствовать междисциплинарному сотрудничеству и операционным улучшениям, выходящим за рамки отдельных тикетов или разовых обзоров.

Принимать обоснованные решения, балансируя технические детали, контекст бизнеса, доверие клиентов и долгосрочные риски.

Устанавливать высокую планку владения, коммуникации, наставничества и технического суждения, а также способствовать повышению эффективности коллег и партнерских команд.

Требуемые навыки и опыт

5+ лет опыта в разработке программного обеспечения или обеспечении безопасности приложений, с глубоким практическим опытом в области AppSec в современных SaaS-средах.

Сильные навыки разработки программного обеспечения и способность читать, писать и выпускать производственный код; опыт работы с Ruby очень ценен, а знание Python или аналогичных скриптовых языков является плюсом.

Сильные основы Linux и облачных вычислений, желательно с опытом работы в средах на базе GCP.

Глубокое знание распространенных проблем AppSec, безопасного проектирования, безопасных паттернов аутентификации и авторизации, управления уязвимостями и инструментов безопасности для разработчиков.

Подтвержденная способность проводить глубокий обзор кода, тестирование на проникновение и валидацию с ориентацией на эксплойты, а также либо самостоятельно устранять уязвимости, либо тесно сотрудничать с инженерами для внедрения долговечных исправлений, которые выдерживают попытки обхода и вариативный анализ.

Опыт обработки результатов из программ Bug Bounty, пентестов, внутренних обзоров или автоматизированных инструментов безопасности до их закрытия и проверки.

Опыт использования инструментов с поддержкой ИИ, автоматизаций, API или структурированных рабочих процессов для масштабирования улучшения процессов разработки или безопасности.

Опыт обеспечения безопасности систем или функций на базе ИИ, включая предоставление API для ИИ, обработку промптов и ответов, защиту данных, сценарии злоупотреблений и ожидания мониторинга.

Сильные навыки письменного и устного общения, управления заинтересованными сторонами и влияния на технические и нетехнические партнеров.

Предпочтительная квалификация

Опыт поддержки или руководства обзорами безопасности для продуктов, созданных на основе ИИ, внутренних агентов или рабочих процессов разработки с поддержкой ИИ.

Опыт улучшения практик безопасного проектирования и наблюдаемости AppSec в быстро развивающейся инженерной организации.

Опыт поддержки обучения по безопасности, обучения разработчиков или программ специалистов по безопасности.

Соответствующие сертификаты по безопасности приветствуются.

Примеры результатов успеха

Улучшить состояние и поток результатов AppSec, обеспечивая своевременное продвижение приоритизации, устранения и проверки в рамках установленных SLA.

Завершать периодические обзоры приложений или моделирование угроз для важных систем и функций.

Увеличить вовлеченность инженеров в использование безопасных паттернов, инструментов AppSec и обучения по безопасности.

Сократить ручной труд и улучшить качество сигналов AppSec посредством целенаправленной автоматизации и ответственного использования рабочих процессов с поддержкой ИИ.

Указанный диапазон оплаты отражает общую денежную компенсацию, включая годовой базовый оклад и годовой бонус (при наличии). Для ролей, связанных с продажами, указанный диапазон представляет собой целевой уровень заработка (OTE) для данной должности, то есть диапазон включает как целевые комиссионные/бонусы по продажам, так и годовой базовый оклад для данной должности. Этот диапазон заработной платы может включать несколько карьерных уровней в Apollo и будет сужаться в процессе собеседования на основе ряда факторов, включая опыт кандидата, квалификацию и местоположение. Кандидаты, заинтересованные в данной должности и не находящиеся в США, могут запросить годовой диапазон заработной платы для своего местоположения в процессе собеседования.

Дополнительные льготы для данной должности могут включать: акции; корпоративный бонус или комиссионные/бонусы по продажам; план 401(k); минимум 10 оплачиваемых праздников в год, гибкий PTO и отпуск по уходу за ребенком; программу поддержки сотрудников и льготы по благополучию; покрытие медицинских расходов на международные поездки; страхование жизни/AD&D/STD/LTD; льготы FSA/HSA и медицинское, стоматологическое и офтальмологическое страхование.

Диапазон оплаты Уровня 1 (Сан-Франциско, Нью-Йорк, Сиэтл) 218 600 — 273 200 долларов США

Диапазон оплаты Уровня 2 (Все другие местоположения в США) 190 100 — 237 600 долларов США

Мы AI Native

Apollo.io — это AI-native компания, построенная на культуре постоянного совершенствования. Мы находимся на переднем крае повышения производительности для наших клиентов, и мы ожидаем такого же мышления от нашей команды. Если вас мотивирует поиск более умных и быстрых способов выполнения задач с помощью ИИ и автоматизации, вы найдете свое место здесь.

Почему вам понравится работать в Apollo

В Apollo нас объединяет общая миссия: помочь нашим клиентам раскрыть весь их потенциал в области продаж. Именно поэтому мы берем на себя исключительную ответственность за свою работу, действуем сфокусированно и оперативно, а также неустанно учимся, чтобы оставаться впереди.

Мы вкладываем значительные средства в ваше развитие, гарантируя, что у вас есть ресурсы, поддержка и автономия, чтобы полностью отвечать за свою роль и оказывать реальное влияние. Сотрудничество лежит в основе всего, что мы делаем — мы работаем по принципу «один за всех, и все за одного», что означает, что у вас будет команда из разных отделов, готовая помочь вам добиться успеха. Мы поощряем смелые идеи и решительные действия, давая вам свободу экспериментировать, принимать разумные риски и добиваться больших побед.

Если вы ищете место, где ваша работа имеет значение, где вы можете раздвигать границы и где ваша карьера может процветать — Apollo — это то, что вам нужно.

Узнайте больше здесь!