Lead Corporate Security Engineer

Должность: Ведущий инженер по корпоративной безопасности Компания: Suno Местоположение: Бостон / Нью-Йорк / на территории кампуса

Вознаграждение: $165 000 - $220 000 в год

О SUNO

Мы создаем первую в мире платформу для творческих развлечений, где каждый человек на планете может ощутить радость и удовлетворение от создания музыки. Музыка для всех: наши пользователи — это и бабушки, создающие песни для своих близких, и обладатели премий Грэмми, использующие Suno Studio, наш мощный инструмент, для создания самых популярных хитов в мире.

Построение будущего индустрии развлечений требует амбиций. Темп быстрый, задачи сложные, а работа требует ответственности и интенсивности. Для подходящих людей это невероятно полезно: шанс сформировать новый медиум, работать в небольшой команде, которая глубоко заботится о качестве, создавать музыку, пить слишком много кофе и построить то, чем пользуются миллионы людей для самовыражения способами, которые ранее были невозможны.

Suno — самая быстрорастущая компания в сфере потребительских развлечений и лидер в области ИИ-музыки. Нас поддерживают ведущие инвесторы, включая Bond Capital, Menlo Ventures, Lightspeed Venture Partners, IVP, Forerunner, Union Square Ventures, Alkeon, Quiet, Matrix Partners, Schroders Capital и NVentures (венчурное подразделение NVIDIA).

О РОЛИ

Ведущий инженер по корпоративной безопасности станет нашим экспертом в области защиты корпоративной ИТ-среды. Вы будете тесно сотрудничать с коллегами из ИТ, бизнес-систем, безопасности и разработки, чтобы обеспечить безопасную реализацию и поддержку наших корпоративных систем. Как старший член команды, вы будете влиять на развитие своей команды, помогать другим и выполнять практическую работу по совершенствованию наших систем, процессов и поведения.

Вы будете управлять сферой корпоративной безопасности от начала до конца: управление идентификацией и доступом, управление конечными точками и уязвимостями, обнаружение и реагирование, риски сторонних интеграций, оценка поставщиков и состояние SaaS. Вы установите стандарты, будете владеть дорожной картой и нести ответственность за результат. IT Engineering ежедневно управляет платформами и является вашим ближайшим партнером.

КАК ЭТА РОЛЬ ВЗАИМОДЕЙСТВУЕТ С IT

Владение разделено по уровням, а не по системам. IT Engineering отвечает за эксплуатацию; вы отвечаете за стандарт и направление.

• Вы устанавливаете дорожную карту корпоративной безопасности. Что мы защищаем, в каком порядке, по каким критериям, с одобрения руководства и кросс-функциональных заинтересованных сторон.
• IT Engineering отвечает за эксплуатацию платформ. Наш портфель SaaS администрируется и интегрируется ими. Вы определяете, что эти платформы должны обеспечивать.
• Вы повышаете планку вокруг себя. Вы четко излагаете свои аргументы, чтобы партнеры принимали правильные решения по безопасности без вашего участия, и вы создаете инструменты и настройки по умолчанию, которые делают безопасный путь обычным.

ЧЕМ ВЫ БУДЕТЕ РУКОВОДИТЬ

Управление идентификацией и доступом

• Владеть моделью доступа в Suno: дизайн RBAC и прав доступа, настройки минимальных привилегий и слой управления в Lumos, который их обеспечивает.
• Установить стандарт для обзора доступа, сертификации и утверждения, а затем работать над его реализацией, а не импортировать чужую структуру.
• Обеспечить автоматизацию жизненного цикла доступа, чтобы присоединение/перевод/увольнение было корректным по умолчанию, а исключения были видимы.
• Предусмотреть управление нечеловеческой идентификацией: служебные учетные записи, агенты и автоматизации составляют растущую долю того, что обеспечивает доступ в Suno, и нам нужна модель для них, пока это не стало срочным.

Безопасность конечных точек и управление уязвимостями

• Владеть стандартом безопасности для нашего парка устройств: базовая настройка, сигналы соответствия, доверие к устройствам и как состояние конечных точек влияет на решения о доступе.
• Владеть программой управления уязвимостями сторонних поставщиков: охват, SLA по устранению рисков, отчетность и переговоры с командами, чьи инструменты вызывают проблемы.
• Сотрудничать с IT-инженером, отвечающим за Kandji, чтобы стандарт стал развернутой политикой, не ухудшая работу пользователей.

Обнаружение и реагирование

• Владеть развертыванием и обслуживанием нашей EDR.
• Сотрудничать с командой обнаружения и реагирования при инцидентах корпоративной безопасности до их закрытия.

Риски сторонних поставщиков и интеграций

• Владеть процессом оценки стороннего доступа Suno: обзор интеграций и OAuth для Slack, Google Workspace и остального портфеля, а также оценка безопасности поставщиков при покупке и продлении.
• Определить наш аппетит к риску на практике и сделать его достаточно понятным, чтобы другие применяли его без вашего участия.
• Преобразовать повторяющиеся решения в политику, руководство по объему и инструменты, чтобы очередь обзоров сокращалась по мере роста компании.

Состояние безопасности SaaS

• Построить и управлять программой: стандарты для наших SaaS-приложений, частота оценки и последующее устранение последствий.
• Улучшить конфигурацию на уровне арендатора по всему портфелю — охват SSO и SCIM, политики MFA и сеансов, гигиена ролей администратора, управление разрешениями OAuth и токенами, настройки общего доступа к данным.

Кросс-функциональное лидерство

• Работать с IT, службой безопасности, разработкой, AI Enablement и юридическим отделом, чтобы формировать, как Suno строит и покупает.
• Влиять на scope будущих направлений: как наша функция GRC будет интегрирована, что мы будем автоматизировать, а что — укомплектовывать, куда пойдут следующие инвестиции.
• Наставлять и повышать технический уровень окружающих, включая партнеров, не являющихся специалистами по безопасности.

КАК ВЫГЛЯДИТ УСПЕХ

• Первые 90 дней: вы сформировали собственное видение нашей системы безопасности, установили рабочие отношения с IT-инженерами и более широкой командой безопасности, а также сообщили нам три вещи, которые мы делаем неправильно.
• Первые 6 месяцев: существует дорожная карта корпоративной безопасности, согласованная IT и CISO, с четко определенной последовательностью и компромиссами; наиболее рискованные элементы уже находятся в работе.
• Первый год: разрастание прав доступа и отставание по уязвимостям заметно сокращены, система обнаружения отражает наши реальные риски, проверка сторонних поставщиков достаточно быстра, чтобы никто не обходил ее, а стандарт соблюдается, потому что он встроен в инструменты и общее понимание, а не в вас.

ЧТО ВЫ ПРИВнесете

• ~8+ лет опыта в корпоративной/предприятийской безопасности или инженерной безопасности, включая опыт управления идентификацией, конечными точками или безопасностью SaaS в качестве основной области, а не набора заявок.
• Глубокие практические знания современного IdP и инструментов IGA или управления доступом (Lumos, Veza, ConductorOne, Opal или аналогичных).
• Вы разработали модель прав доступа или RBAC для большого портфеля SaaS и жили с последствиями достаточно долго, чтобы понять, что ломается.
• Глубокие знания безопасности конечных точек в парке устройств преимущественно macOS: усиление безопасности, доставляемое MDM, соответствие требованиям и доверие к устройствам, управление обновлениями сторонних поставщиков и уязвимостями в масштабе.
• Отличное знание OAuth, SAML, OIDC и SCIM, а также модели рисков, связанных со сторонними интеграциями.
• Подтвержденный опыт создания стандарта безопасности, который другие люди применяли без вашего принуждения — письменная политика, инструменты, настройки по умолчанию или все три.
• Опыт влияния на команды разработки и бизнеса, которые вам не подчиняются, на ранних этапах их процесса, чтобы изменить результат.
• Свободное владение автоматизацией: Python или TypeScript, REST API, и привычка создавать интеграции и внутренние инструменты как обычную часть работы.
• Отличное письмо и способность принимать решения в условиях неопределенности. Вы можете отстаивать позицию перед руководством и изменить ее, когда доказательства указывают на это.
• Сбалансированное понимание рисков и умение сообщать о вероятности, последствиях и компромиссах.

Полезно, но не обязательно: программы внутреннего риска или DLP, сетевой доступ с нулевым доверием, владение программой SOC 2 или ISO, шаблоны доступа по запросу или identity-as-code, защита доступа ИИ-агентов и нечеловеческой идентификации, предыдущий опыт в качестве первого или второго сотрудника службы безопасности в быстрорастущей компании.

ПОЛИТИКА РАБОЧЕГО МЕСТА

Ожидается, что сотрудники на этой должности будут работать в офисе Suno в Нью-Йорке или Кембридже, Массачусетс, 5 дней в неделю, в соответствии с политикой компании Suno. Штатные сотрудники получат конкурентоспособные пакеты акций и комплексные льготы. Фактическая предлагаемая базовая заработная плата может варьироваться в зависимости от местоположения, навыков, квалификации и опыта.

ДОПОЛНИТЕЛЬНЫЕ ПРИМЕЧАНИЯ

Кандидаты должны иметь право на работу в США.

Готовность к командировкам (до 25%) для руководства членами команды и поддержки офисов в филиалах Suno, с регулярными поездками в Кембридж и Нью-Йорк в течение первых шести месяцев.

ПЕРКИ И ЛЬГОТЫ ДЛЯ ШТАТНЫХ СОТРУДНИКОВ

• Пакет акций компании
• 401(k) с 3% взносом работодателя и Roth 401(k)
• Медицинское, стоматологическое и офтальмологическое страхование (PPO с вариантами HSA и FSA)
• 11 оплачиваемых праздников + неограниченное количество PTO и больничных
• 16 недель оплачиваемого отпуска по уходу за ребенком
• Стипендия на творческое образование
• Щедрый компенсационный пакет на проезд
• Обед в офисе (5 дней в неделю)

Suno с гордостью является работодателем, предоставляющим равные возможности. Мы рассматриваем квалифицированных кандидатов независимо от расы, цвета кожи, происхождения, религии, пола, национальности, сексуальной ориентации, гендерной идентичности, возраста, семейного положения, инвалидности, генетической информации, статуса ветерана или любой другой законно защищенной основы в соответствии с провинциальными, федеральными, государственными и местными законами, правилами или постановлениями. Мы также будем рассматривать квалифицированных кандидатов с судимостью в соответствии с требованиями государственных и местных законов, включая Закон Массачусетса о справедливом трудоустройстве, Закон Нью-Йорка о справедливом трудоустройстве, Постановление Лос-Анджелеса о справедливом трудоустройстве и Постановление Сан-Франциско о справедливом трудоустройстве.