Вы будете старшим инженером по безопасности приложений в Cleo, отвечая как за интеграцию безопасности в наши продукты от проектирования до выпуска, так и за уровень безопасности разрабатываемых продуктов, как локальных, так и SaaS, с точки зрения их восприятия клиентами. Это индивидуальная роль уровня Staff с реальной ответственностью за программу: вы устанавливаете стандарты, создаете защитные механизмы и работаете напрямую с инженерами над кодом. Вы будете подчиняться CISO и ежедневно сотрудничать с отделом инжиниринга и нашей командой облачной безопасности. Вы — не отдел одного человека: инженеры по безопасности и внешние партнеры будут работать под вашим руководством. Ваша задача — определять направление, принимать сложные технические решения и создавать рычаги воздействия с помощью автоматизации и партнеров, а не выполнять каждую задачу самостоятельно.
Основные обязанности и ответственность
Безопасный жизненный цикл разработки и защитные механизмы
- Управление и развитие SSDLC Cleo: требования к безопасности, моделирование угроз, анализ дизайна для изменений продукта, API и интеграций с высоким уровнем риска.
- Запуск и настройка SAST, SCA, обнаружения секретов, сканирования контейнеров и IaC.
- Создание повторно используемых безопасных шаблонов, эталонных реализаций и политик как кода, которые делают безопасный путь путем по умолчанию.
- Управление обучением разработчиков по вопросам безопасности: проведение встреч Security Champions, организация кампаний обучения инженеров по безопасности, развитие выделенного специалиста в каждой команде и предоставление разработчикам практических рекомендаций по устранению уязвимостей, консультаций и возможностей самообслуживания в области безопасности.
Управление уязвимостями продуктов
- Управление основанной на рисках сортировкой, устранением и проверкой уязвимостей приложений и продуктов, включая SLA на устранение, эскалацию и исключения. Воспроизведение уязвимостей, сообщенных внешними источниками, на работающих экземплярах продукта и проверка исправлений перед выпуском.
- Управление программой тестирования на проникновение: определение масштаба и координация сторонних работ, самостоятельное проведение целевого тестирования и проверка результатов путем повторного тестирования.
- Управление нашей программой раскрытия уязвимостей, включая общение с исследователями и скоординированное раскрытие информации.
- Координация жизненного цикла CVE для продуктов Cleo и поддержка реагирования на инциденты безопасности продуктов.
- Управление элементами контроля безопасности приложений и продуктов в программе NIST CSF 2.0 Cleo: отслеживание зрелости, устранение пробелов и подготовка доказательств, на которые полагаются наши аудиты.
Безопасность продуктов
- Управление уровнем безопасности продуктов, выпускаемых Cleo, как в моделях развертывания SaaS, так и в моделях, развернутых клиентами: безопасные настройки по умолчанию, контроль аутентификации и сеансов, RBAC и изоляция арендаторов, доступ к административным данным, конфигурация, связанная с безопасностью, и рекомендации по обеспечению безопасности для клиентов.
- Управление дорожной картой безопасности продуктов: сотрудничество с отделом управления продуктами, CTO и архитекторами для приоритизации и выпуска функций безопасности, включая обновления SSO/SAML, переработку RBAC в приложении, контроль доступа на уровне конечных точек и элементы управления, запрошенные клиентами, а также представление безопасности на совещаниях RTE Sync и Boundary Review.
- Техническое руководство по безопасности продуктов, ориентированных на клиентов: сортировка результатов сканирования уязвимостей и отчетов о тестировании на проникновение в отношении продуктов Cleo, ответы на запросы информации по безопасности (RFI) и запросы на улучшения, а также написание клиентских уведомлений, заметок о выпуске безопасности и документации по обеспечению безопасности.
Компетенции в области ИИ
- Управление моделированием угроз и проверкой безопасности для функций продуктов с использованием LLM, ИИ-агентов и рабочих процессов разработки с помощью ИИ.
- Создание элементов управления и безопасных шаблонов для защиты от инъекций в подсказки (prompt injection), раскрытия конфиденциальных данных, небезопасной обработки выходных данных, чрезмерной самостоятельности (excessive agency), небезопасных интеграций с инструментами и рисков цепочки поставок ИИ.
- Применение и операционализация OWASP Top 10 для LLM Applications и NIST AI Risk Management Framework в продуктах и инжиниринге.
Предварительные требования
- 6+ лет опыта работы в области безопасности приложений, безопасности продуктов или безопасной разработки программного обеспечения, включая опыт создания или развития программы AppSec в нескольких инженерных командах.
- Отличные навыки объектно-ориентированного разработчика: требуется глубокое знание объектно-ориентированного языка программирования, предпочтительно Java, учитывая, что основные продукты Cleo основаны на Java. Вы должны уметь читать, отлаживать и писать код производственного качества и комфортно работать с различными языками, такими как TypeScript, Python или Go.
- Глубокое знание поверхностей атак приложений: аутентификация, авторизация, безопасность API, ошибки бизнес-логики и современные сервисные архитектуры.
- Практический опыт интеграции и настройки SAST, SCA и сканирования секретов в конвейерах GitHub и CI/CD.
- Практический опыт воспроизведения эксплойтов и проверки исправлений: вы сможете взять отчет исследователя о уязвимости до аутентификации, воспроизвести ее на работающем веб-приложении Java, подтвердить исправление и написать то, что должны услышать как исследователь, так и клиент.
- Опыт скоординированного раскрытия информации с внешними исследователями безопасности и клиентами, включая соблюдение эмбарго и доведение CVE до публикации.
- Опыт работы с безопасностью продуктов с установленной базой: безопасные настройки по умолчанию и рекомендации по обеспечению безопасности, клиентские уведомления и заметки о выпуске безопасности, а также преобразование отчета о сканировании или RFI от клиента в ответ «исправить или объяснить».
- Опыт проведения моделирования угроз, анализа дизайна и ручного тестирования безопасности, а также непосредственной работы с разработчиками по устранению уязвимостей.
- Четкая коммуникация, позволяющая превращать технические риски в инженерные рекомендации как для разработчиков, так и для руководителей, а также принимать решения о блокировке выпуска с руководством инженерного отдела, когда риск этого требует.
Желательно
- Обеспечение безопасности приложений LLM, ИИ-агентов или инструментов разработки с помощью ИИ.
- SBOM (CycloneDX/SPDX), VEX, подпись артефактов и SLSA.
- AWS, Kubernetes/EKS, Terraform, Jenkins.
- Snyk, GitHub Advanced Security, Semgrep, Burp Suite.
- NIST CSF 2.0, OWASP SAMM/ASVS, NIST SSDF; поддержка аудитов SOC 2 или ISO 27001.
- Сертификаты CSSLP, OSWE, GWAPT, AWS Security или аналогичные.
- Корпоративное программное обеспечение как для SaaS, так и для локальных моделей развертывания; SSO/SAML, дизайн RBAC и изоляция мультиарендаторов; MFT/EDI или другие продукты для интеграции B2B.
Несколько вещей, которые мы предлагаем
- Компенсация: $160 000 - $180 000 + возможность бонуса
- Отличное медицинское страхование + стоматология + зрение
- Гибкое количество оплачиваемых дней отпуска (PTO)
- Культура поддержки, поощряющая баланс между работой и личной жизнью
- Соответствие 401k
- Варианты FSA и HSA
- Программа помощи сотрудникам
- Оплачиваемый отпуск по уходу за ребенком
- Удаленная рабочая среда
- Представление компании с более чем 4000 клиентами и уровнем удержания 99%
- Потенциал ускоренного роста должности и заработной платы
- Веселая и энергичная рабочая атмосфера, которая заставляет вас с энтузиазмом идти на работу каждый день
Мы используем инструменты искусственного интеллекта (ИИ) для помощи на определенных этапах нашего рекрутингового процесса, таких как проверка резюме и подбор кандидатов. Эти инструменты разработаны для обеспечения справедливой и последовательной оценки. Если у вас есть вопросы об этом процессе или вы хотели бы запросить альтернативный метод оценки, пожалуйста, свяжитесь с нами по адресу контакт рекрутера.
Cleo Communications US, LLC является работодателем, предоставляющим равные возможности/позитивные действия, и все квалифицированные кандидаты будут рассмотрены для трудоустройства без учета расы, цвета кожи, религии, пола, сексуальной ориентации, гендерной идентичности, национального происхождения, возраста, инвалидности, статуса ветерана или любой другой характеристики, защищенной законом.
