Senior Cyber Security Engineer

Название: Старший инженер по кибербезопасности Местоположение: Лондон / Лондон; София

О нас Financial Times — одна из ведущих мировых новостных организаций, получившая всеобщее признание благодаря своему авторитету, добросовестности и точности, и призванная предоставлять качественную информацию и услуги по всему миру. В FT процветает любопытство, и амбициозное мышление вознаграждается. Здесь у вас есть возможность охватить миллионы людей, создать значимую работу и обеспечить беспристрастную журналистику в поляризованном мире. В нашей теплой, совместной культуре вы найдете разнообразное сообщество экспертов, которые поддерживают ваш рост, карьерные устремления и благополучие. Ваше будущее в FT будет наполнено возможностями, которые бросают вам вызов и вдохновляют вас. Без фиксированного пути вы откроете для себя новые навыки и построите карьеру, которая может привести вас куда угодно. Постройте карьеру, достойную новостей, в FT.

Наши обязательства по обеспечению многообразия, справедливости и инклюзивности Мы верим в силу уникальных точек зрения и хотим, чтобы все голоса в нашей организации были услышаны, уважаемы и ценимы. Поддерживающая рабочая среда — это та, где сотрудники чувствуют, что могут быть самими собой и работать в полную силу. Мы стремимся устранять барьеры для всех, уделяя особое внимание устранению тех, с которыми сталкиваются представители недопредставленных групп.

Обзор роли Мы ищем старшего инженера по кибербезопасности, который поможет развить безопасность приложений и облаков в облачной, размещенной на AWS технологической инфраструктуре FT. Эта роль имеет примерно равное распределение обязанностей (50/50) между безопасностью приложений и безопасностью облаков, тесно сотрудничая с командами по продуктам, платформам и инжинирингу, чтобы упростить безопасную доставку по умолчанию.

Вы будете формировать и улучшать удобные для разработчиков защитные механизмы в конвейерах CI/CD на базе GitHub, средах AWS и рабочих процессах infrastructure-as-code. Это включает в себя улучшение SAST, анализа состава программного обеспечения, сканирования секретов, сканирования IaC, управления уязвимостями и управления неправильными конфигурациями AWS, чтобы результаты были действенными, малошумными и принадлежали нужным командам.

Ежедневно вы будете проводить практические сеансы моделирования угроз, анализировать проекты приложений и облаков, улучшать плейбуки безопасности, поддерживать устранение уязвимостей и неправильных конфигураций, а также создавать автоматизацию, которая снижает рутину. Мы ищем кого-то, кто продемонстрировал улучшение результатов безопасности в реальных инженерных средах, а не просто кого-то с теоретическими знаниями инструментов или фреймворков.

В зависимости от структуры команды, вы также можете наставлять или руководить одним-двумя инженерами по безопасности, оставаясь при этом вовлеченным в техническую работу.

Что вы принесете в эту роль Опыт в области безопасности приложений и облаков: практический опыт как в области безопасности приложений, так и в области безопасности облаков, в идеале в облачных средах, размещенных на AWS. Ориентированный на разработчиков подход к безопасности: вы знаете, как работать с инженерами, четко объяснять риски и разрабатывать средства контроля, которые помогают командам безопасно двигаться вперед без ненужных препятствий. Управление уязвимостями в масштабе: опыт улучшения выявления, приоритизации, владения и устранения уязвимостей приложений, рисков зависимостей, результатов bug bounty, результатов тестирования на проникновение и уведомлений в инженерных командах. Управление неправильными конфигурациями и уязвимостями облака: опыт выявления и сокращения уязвимостей и неправильных конфигураций инфраструктуры как кода и AWS в масштабе посредством прагматичных защитных механизмов, инструментов и четких путей устранения. Моделирование угроз: уверенность в проведении легких, практических сеансов моделирования угроз, которые приводят к полезным инженерным решениям и снижению рисков. CI/CD и безопасность кода: практический опыт работы с инструментами безопасности, такими как SAST, анализ состава программного обеспечения, сканирование секретов и сканирование IaC. Автоматизированное мышление: способность писать скрипты или небольшие инструменты, в идеале на Python, для снижения рутины, улучшения видимости и выявления значимых рисков. Лидерство в области безопасности: способность наставлять других инженеров по безопасности и влиять на инженеров во всей организации. В зависимости от структуры команды это может включать управление. Осведомленность о безопасности ИИ: опыт использования ИИ для улучшения и масштабирования средств контроля безопасности приложений и облаков был бы полезен, но не является обязательным.

Ключевые обязанности Улучшение защитных механизмов безопасности приложений Настройка и развитие SAST, анализа состава программного обеспечения, сканирования секретов и связанных с ними средств контроля, чтобы они были действенными, малошумными и полезными для инженерных команд. Улучшение защитных механизмов безопасности облаков и IaC Помощь в выявлении, приоритизации и сокращении неправильных конфигураций и уязвимостей AWS и инфраструктуры как кода в масштабе. Управление уязвимостями Улучшение процессов обработки, приоритизации и устранения уязвимостей приложений, рисков зависимостей, результатов bug bounty, результатов тестирования на проникновение и уведомлений от третьих сторон. Управление неправильными конфигурациями облака Помощь командам в понимании, принятии ответственности и устранении проблем безопасности облака с использованием прагматичных, удобных для разработчиков рабочих процессов. Проведение практического моделирования угроз Организация легких сеансов моделирования угроз для новых продуктов, функций, сервисов и архитектурных изменений. Создание автоматизации и инструментов Создание или улучшение скриптов, интеграций, панелей мониторинга и рабочих процессов, которые снижают ручной труд и облегчают понимание рисков. Поддержка безопасных архитектурных решений Предоставление экспертных знаний по безопасности приложений и облаков при анализе проектов, принятии архитектурных решений AWS и крупных технических изменениях. Партнерство с инженерными командами Тесное сотрудничество с командами по продуктам, платформам и разработке программного обеспечения для внедрения безопасности в процессы проектирования, доставки и эксплуатации. Поддержка инцидентов и извлечение уроков Предоставление экспертных знаний по безопасности приложений и облаков во время инцидентов и возврат извлеченных уроков в шаблоны, инструменты и рекомендации. Наставничество других Обучение инженеров по безопасности и инженерных команд практическим подходам к безопасности. В зависимости от структуры команды это может включать управление одним или двумя инженерами по безопасности.

Требуемый опыт, обязательный: Богатый практический опыт в области безопасности приложений и облаков, в идеале с равным вниманием к обоим направлениям. Практический опыт работы с безопасностью AWS, включая распространенные шаблоны неправильных конфигураций и практические подходы к их устранению. Опыт улучшения управления уязвимостями в инженерных командах, включая приоритизацию, владение, отслеживание устранения и снижение уровня шума. Опыт улучшения управления неправильными конфигурациями облака или IaC в масштабе, удобным для разработчиков способом. Опыт интеграции, настройки или улучшения инструментов безопасности в рабочих процессах CI/CD, таких как SAST, анализ состава программного обеспечения, сканирование секретов или сканирование IaC. Опыт проведения практических сеансов моделирования угроз, которые влияют на решения по проектированию, доставке или устранению. Способность писать скрипты или небольшие инструменты, в идеале на Python, для автоматизации рабочих процессов безопасности или улучшения видимости. Сильные коммуникативные навыки и навыки сотрудничества, способность влиять на инженеров и технических лидеров без опоры на «гейткипинг». Доказательства улучшения практик безопасности приложений, безопасности облаков или управления уязвимостями в реальной инженерной среде. Знакомство с гибкими или Scrum-методами работы.

Желательный Опыт использования ИИ для AppSec и CloudSec. AWS Certified Security – Specialty или эквивалентный практический опыт работы с безопасностью AWS. Опыт работы с Terraform или CloudFormation. Опыт управления инцидентами или реагирования на инциденты. Опыт работы с Splunk или аналогичными платформами журналирования/SIEM. Опыт работы с метриками безопасности, панелями мониторинга или отчетностью, которые помогли добиться измеримого снижения рисков. Опыт наставничества или управления инженерами по безопасности.

Что вы получите? Наши льготы варьируются в зависимости от места, но мы стремимся предоставлять лучшие в своем классе преимущества во всех наших офисах. Они включают щедрый ежегодный отпуск, медицинское обслуживание, комплексные пакеты по уходу за ребенком, субсидируемые членские взносы в спортзал и возможности для внесения вклада в сообщество. Полная информация о наших льготах доступна здесь.

В настоящее время мы работаем по гибридной модели, которая требует от сотрудников присутствия в офисе 50% времени, в зависимости от требований должности и регулярного пересмотра. Хотя запросы на гибкий график работы будут рассматриваться, не все варианты подходят для всех должностей. Мы считаем, что этот сбалансированный подход поддерживает гибкость и сохраняет нашу культуру, облегчая сотрудничество и общение, укрепляя отношения и сплоченность команды, а также способствуя обучению на основе опыта.

Доступность Мы являемся работодателем, уверенным в отношении инвалидов, и подписантом Valuable 500.

Пожалуйста, дайте нам знать, если вам потребуются какие-либо разумные корректировки/персонализация в процессе подачи заявки или для вашего участия в собеседовании. Если вы хотите обсудить ваши потребности или у вас есть вопросы, напишите на контакт рекрутера, и член нашей команды будет рад помочь.

Дополнительная информация В FT мы приветствуем инновации и использование технологий и понимаем, что отдельные лица могут использовать инструменты ИИ в процессе подачи заявки на работу. Хотя мы рады, что вы можете использовать ИИ для помощи в вашей заявке, крайне важно, чтобы вся предоставленная информация была подлинной и точно отражала ваши навыки, опыт и квалификацию.

Кандидаты должны осознавать, что использование ИИ на протяжении всего процесса подачи заявки может отслеживаться для обеспечения справедливого и прозрачного процесса найма для всех.