Обзор роли
Эксперт по безопасности приложений и VIPR — это технический лидер, ответственный за разработку архитектуры, автоматизацию и постоянное совершенствование состояния безопасности приложений Armis, обеспечивая полную интеграцию уязвимостей приложений в рамках VIPR.
Эта роль объединяет разработку, безопасность продуктов и управление уязвимостями, определяя, как риски приложений выявляются, приоритизируются, контекстуализируются и устраняются на платформах Armis SaaS и on-prem. Вы будете гарантировать, что результаты AppSec не будут изолированы, а вместо этого будут коррелированы с информацией об активах, эксплойтами, степенью подверженности и бизнес-влиянием.
Ключевые обязанности
Руководство по безопасности приложений
- Руководить программой безопасности приложений для всех продуктов Armis, встраивая безопасность на протяжении всего SDLC.
- Проводить обзоры безопасного дизайна и архитектуры, сотрудничая с инженерными командами для раннего выявления и снижения рисков.
- Проводить сеансы моделирования угроз, используя методологии STRIDE, DREAD или PASTA.
Интеграция VMDR и жизненный цикл уязвимостей
- Управлять управлением уязвимостями на уровне приложений в рамках стратегии VIPR Armis, от обнаружения до устранения и проверки.
- Интегрировать результаты AppSec (SAST, DAST, SCA, тестирование API) в централизованные рабочие процессы управления уязвимостями, модели оценки рисков и приоритизации.
- Коррелировать уязвимости приложений с контекстом активов, информацией об эксплойтах и критичностью для бизнеса для обеспечения устранения рисков.
- Отслеживать и сообщать метрики VMDR, такие как MTTD, MTTR, окна подверженности и эффективность устранения уязвимостей приложений.
Автоматизация и инструментарий
- Создавать и поддерживать автоматизированные конвейеры AppSec для SAST, DAST, SCA и тестирования безопасности API.
- Сотрудничать с DevOps для интеграции сканирования безопасности в конвейеры CI/CD (GitHub Actions, Jenkins, Buildkite).
- Сотрудничать с Cloud and Infrastructure Security для защиты API, микросервисов и контейнеризированных рабочих нагрузок (Docker, Kubernetes).
Партнерство и поддержка инженеров
- Разрабатывать и поддерживать стандарты безопасного кодирования и базовые конфигурации безопасности для React, Node.js, Python, Java и Go.
- Менторить инженеров и чемпионов по безопасности; проводить обучение по безопасному кодированию и семинары по моделированию угроз.
- Выступать в качестве доверенного консультанта руководства инженерного отдела, переводя уязвимости в четкие риски и рекомендации по их устранению.
Соответствие требованиям и гарантии
- Поддерживать соответствие нормативным требованиям и готовность к аудиту, включая SOC 2, ISO 27001, FedRAMP и HIPAA, гарантируя, что риски приложений документированы и управляются в рамках процессов VIPR / AppSec.
Требуемые квалификации
- 7–10+ лет опыта в области безопасности приложений, безопасности продуктов или безопасной разработки программного обеспечения.
- Подтвержденный опыт работы с инструментами SAST, DAST, SCA и управления зависимостями (например, Veracode, Checkmarx, Fortify, Snyk, SonarQube, OWASP Dependency-Check).
Предпочтительные навыки
- Опыт работы в компании, предоставляющей SaaS, облачные или кибербезопасные продукты.
- Практический опыт интеграции AppSec в более широкие программы VIPR или управления рисками.
- Знакомство с облачными платформами и платформами контейнерной безопасности (Prisma Cloud, Wiz, Orca).
- Опыт работы с безопасностью IaC (Terraform, CloudFormation).
- Опыт работы с безопасностью API Gateway, OAuth2, аутентификацией на основе токенов и архитектурами zero-trust.
- Соответствующие сертификаты, такие как OSWE, CSSLP, GWAPT, GWEB, CEH.
- Практическое владение кодом как минимум на двух современных языках (Python, JavaScript/TypeScript, Java, Go).
- Богатый опыт комплексного управления уязвимостями, включая сортировку, приоритизацию, отслеживание устранения и проверку.
- Глубокое понимание OWASP Top 10, CWE, CVE и концепций эксплуатации.
- Хорошее знание конвейеров CI/CD, рабочих процессов на основе Git и автоматизации безопасной сборки.
- Опыт моделирования угроз, обзоров безопасной архитектуры и безопасности микросервисов/API.
- Способность четко доносить технические риски как инженерным командам, так и бизнес-стейкхолдерам.
Местоположение: Испания (обязательно)
