Должность: Старший менеджер по безопасности приложений
Компания: ConsenSys
Местоположение: EMEA - Удаленно
Обратите внимание, что мы не можем рассматривать кандидатов из Франции, Италии или Германии на эту должность.
Деньги перемещаются в интернет, и у этого сдвига есть название: Open Money. Это открытые, переносимые, агентируемые деньги, принадлежащие вам. MetaMask потратил последние десять лет на его создание; с более чем 100 миллионами загрузок, пользователями примерно в 190 странах и триллионами совокупного объема транзакций, это самая надежная платформа самодостаточных финансов в интернете. Теперь мы создаем операционную систему для ваших денег: единое место для хранения, перемещения, приумножения и использования всего, чем вы владеете. Присоединяйтесь к глобальной команде, работающей удаленно, чтобы перестроить, как работают деньги: проблема, которая касается каждого, каждый день.
О вакансии
MetaMask — это кошелек с самостоятельным хранением, который не хранит приватные ключи пользователей. Транзакции в блокчейне, как правило, необратимы, что означает, что уязвимость в продукте или в цепочке поставки программного обеспечения может привести непосредственно к финансовым потерям для пользователей. В результате MetaMask привлекает постоянное внимание злоумышленников, мотивированных финансовыми выгодами, и искушенных актеров в цепочке поставок.
Мы ищем Старшего менеджера по безопасности приложений, который будет руководить обеспечением безопасности приложений на уровне расширения MetaMask, мобильного приложения, Snaps, серверных служб, DeFi-примитивов, стейблкоинов и вспомогательных смарт-контрактов.
Эта роль охватывает архитектуру, код, зависимости, управление сборкой и выпуском, тестирование безопасности и раскрытие уязвимостей. Это практическая руководящая должность. Вы будете определять стратегию и операционную модель, руководить небольшой командой старших специалистов и оставаться непосредственно вовлеченным в проверку кода и моделирование угроз.
Вы будете подчиняться Руководителю отдела безопасности и тесно сотрудничать с руководством отдела разработки MetaMask, чтобы гарантировать понимание, принятие ответственности и устранение рисков безопасности.
Обязанности
Руководство и планирование
- Руководить и развивать команду по безопасности приложений, включая наем, управление эффективностью и развитие карьеры, оставаясь непосредственно вовлеченным в техническую работу.
- Определять стратегию безопасности приложений, годовые цели и квартальные OKR в соответствии с целями компании и утвержденной целевой операционной моделью. Определять и отслеживать KPI для измерения производительности и прогресса.
- Отчитываться о прогрессе AppSec, охвате, эффективности устранения уязвимостей и существенных пробелах руководству отдела безопасности и участвовать в подготовке отчетов для комитета по рискам.
Безопасный дизайн и доставка
- Определять требования к проверке безопасности при разработке и выпуске, оценивать их соответствие и эскалировать нерешенные риски.
- Руководить моделированием угроз и проверкой безопасности дизайна клиентов, API и серверных служб, включая аутентификацию, управление ключами, подписание и делегированные действия. Оценивать границы доверия во всей системе и участвовать в обзорах архитектуры и RFC.
- Определять требования к безопасности цепочки поставок программного обеспечения и работать с командами разработки над внедрением и проверкой средств контроля зависимостей, сборок, артефактов и публикации.
- Руководить проверкой кода безопасности во всех приложениях MetaMask и смарт-контрактах, работая с разработчиками и соответствующими специалистами над устранением выявленных проблем.
- Определять и развивать жизненный цикл безопасной разработки для включения ИИ-агентов, включая их доступ, действия и требования к проверке человеком. Устанавливать стандарты безопасности для инструментов разработки ИИ, генерируемого кода и компонентов ИИ в продуктах.
- Интегрировать тестирование безопасности в рабочие процессы разработки и поставки, включая статический и динамический анализ, сканирование зависимостей, обнаружение секретов и сканирование ИИ. Оценивать инструменты и проверять результаты их работы.
- Помогать разработчикам предотвращать повторяющиеся уязвимости посредством руководств по безопасному кодированию, многократно используемых библиотек, обучения и программы чемпионов по безопасности.
Управление уязвимостями и внешнее тестирование
- Отвечать за оценку уязвимостей приложений, их сортировку, приоритизацию и отслеживание устранения в рамках фреймворка управления уязвимостями организации. Коррелировать выявленные проблемы между клиентами, службами и вспомогательной инфраструктурой с соответствующими владельцами для оценки комбинированного воздействия. Обеспечивать наличие четких владельцев и сроков для выявленных проблем, проверять исправления и эскалировать просроченные риски.
- Определять объем и предлагаемые инвестиции для программ вознаграждений за поиск ошибок (bug bounty), тестирования на проникновение и сканирования безопасности ИИ на основе рисков и результатов. Управлять внешними поставщиками, отношениями с исследователями, вознаграждениями и выплатами, а также координировать раскрытие уязвимостей.
Обеспечение и поддержка при инцидентах
- Предоставлять доказательства наличия средств контроля безопасности приложений для аудитов и обзоров соответствия, а также поддерживать проверки для клиентов и партнеров.
- Предоставлять экспертные знания по безопасности приложений во время инцидентов, включая анализ уязвимостей и поддержку устранения.
Квалификация
Обязательные требования
- Не менее восьми лет в области безопасности приложений или разработки программного обеспечения с фокусом на безопасность, включая два года руководства людьми.
- Отличные практические навыки проверки кода на TypeScript/JavaScript, Go или Solidity для браузерных расширений, мобильных приложений и серверных служб, с возможностью выявления уязвимостей и работы с разработчиками над их устранением.
- Подтвержденный опыт обеспечения безопасности приложений на стороне клиентов и серверных служб, включая распределенную аутентификацию, авторизацию и управление ключами.
- Опыт создания или существенного улучшения программы AppSec, включая проверки безопасности, автоматизированное тестирование, сканирование ИИ, управление уязвимостями и поддержку разработчиков, с обоснованным суждением о том, где ИИ приносит пользу и как проверять его результаты.
- Практический опыт обеспечения безопасности цепочек поставок программного обеспечения, включая политики зависимостей, анализ состава программного обеспечения (SCA), npm, целостность артефактов и CI/CD.
- Опыт управления программами вознаграждений за поиск ошибок (bug bounty) и тестирования на проникновение, включая выбор и управление внешними поставщиками.
- Рабочие знания безопасности смарт-контрактов EVM, включая распространенные уязвимости, методы проверки, средства контроля обновлений и администрирования, а также оценку внешних аудитов.
- Опыт внедрения улучшений безопасности через команды разработчиков, не находящиеся в вашем прямом подчинении.
- Четкие навыки письменного общения, от действенных моделей угроз до кратких резюме рисков для руководства.
Предпочтительные требования
- Квалификация в области атакующей безопасности, такая как OSCP, OSWE или OSWA, или подтвержденный опыт участия в программах вознаграждений за поиск ошибок (bug bounty) или соревнованиях CTF.
- Опыт обеспечения безопасности браузерных расширений или мобильных приложений.
- Опыт обеспечения безопасности рабочих процессов разработки, использующих ИИ, или компонентов ИИ в производственных приложениях.
- Опыт работы в сфере криптовалют, Web3 или других отраслях, подверженных постоянным атакам, таких как финтех, платежи или инфраструктура.
- Знание прикладной криптографии или сильный интерес к ней.
- Знакомство с атаками государственных субъектов на компании-разработчики программного обеспечения, в частности, с кампаниями КНДР по цепочке поставок и социальной инженерии.
- Опыт предоставления доказательств средств контроля безопасной разработки для оценок SOC 2 или ISO 27001.
Не соответствуете всем требованиям? Не беда. Мы увлечены построением разнообразной команды людей, и поэтому, если вы считаете, что у вас есть все необходимое для нашей хаотичной, но веселой, дружелюбной к удаленной работе, стартап-среды — подавайте заявку в любом случае, подробно описав ваши соответствующие передаваемые навыки в сопроводительном письме. Хотя у нас есть довольно четкое представление о том, что нам нужно, мы готовы к тому, что вы бросите вызов нашему видению того, кто нужен на эту роль.
В быстро развивающейся сфере Web3 мы считаем, что каждый является создателем. Эта обширная парадигма требует разнообразных бэкграундов, талантов, навыков и опыта для влияния и формирования будущего. В MetaMask это разнообразие подпитывает нашу способность передавать контроль и переопределять границы возможного. Мы стремимся к тому, чтобы наши технологии расширяли возможности людей и сообществ посредством децентрализованных технологий. Мы приветствуем широкий спектр взглядов и различий и празднуем их. Нам не терпится увидеть, как ваши уникальные навыки создателя внесут вклад в наше видение, будут способствовать инновациям и помогут нам сформировать более инклюзивный Web3.
MetaMask является работодателем, предоставляющим равные возможности. Все кадровые решения принимаются без учета расы, цвета кожи, национального происхождения, родословной, пола, гендерной идентичности или выражения, сексуальной ориентации, возраста, генетической информации, религии, инвалидности, состояния здоровья, беременности, семейного положения, статуса семьи, статуса ветерана или любой другой характеристики, защищенной законом.
MetaMask осведомлен о мошеннических практиках найма, и мы призываем всех кандидатов ознакомиться с нашими лучшими практиками для защиты себя, которые можно найти на нашей странице.
MetaMask может использовать инструменты искусственного интеллекта (ИИ) для поддержки частей нашего процесса найма, таких как рассмотрение заявок, проверка резюме или проведение первоначальной оценки кандидатов. Эти инструменты предназначены для помощи нашей команде по найму и повышения эффективности — они не заменяют человеческое суждение. Каждый кандидат рассматривается рекрутером или менеджером по найму, и все окончательные решения о найме принимаются людьми, а не ИИ.
Требованием для трудоустройства на эту должность является то, что кандидаты могут быть обязаны пройти проверки биографии и личности, включая, но не ограничиваясь проверками трудоустройства, образования, уголовного прошлого и другие проверки, определенные компанией как необходимые.
