Senior Application Security Engineer

Заголовок: Старший инженер по безопасности приложений Местоположение: Удаленно Отдел: Инженерия Компенсация (Диапазон компенсации): 170 000 – 190 000 долларов США в год

Старший инженер по безопасности

Подотчетен: Старшему директору по ИТ и безопасности

Места найма: Алабама, Аризона, Арканзас, Калифорния, Колорадо, Делавэр, Флорида, Джорджия, Айдахо, Иллинойс, Индиана, Канзас, Луизиана, Мэн, Мэриленд, Массачусетс, Мичиган, Миннесота, Миссури, Невада, Нью-Гэмпшир, Нью-Джерси, Нью-Йорк, Северная Каролина, Огайо, Орегон, Пенсильвания, Род-Айленд, Южная Каролина, Теннесси, Техас, Юта, Вермонт, Вирджиния и Висконсин.

Тип занятости: Полная занятость

Обзор роли:

Будучи первым выделенным старшим инженером по безопасности в Oshi Health, вы будете отвечать за техническую безопасность нашей полностью удаленной платформы здравоохранения SaaS и облачной платформы, защищая конфиденциальные медицинские данные реальных людей, которые стремятся вернуть контроль над хроническими заболеваниями желудочно-кишечного тракта. Это практическая роль, ориентированная на создание, а не на политику: вы будете устанавливать стандарты архитектуры безопасности, укреплять управление идентификацией и секретами, а также изначально интегрировать безопасность в наши инженерные рабочие процессы и рабочие процессы искусственного интеллекта. Это уникальная дальновидная возможность определить, как растущая платформа здравоохранения остается безопасной по мере принятия разработки генеративного ИИ, и оставить свой след в основе.

Что вы будете делать — Ключевые обязанности

• Отвечать за безопасность приложений и продуктов, включая моделирование угроз, обзор безопасной архитектуры и обзор безопасного кода, с акцентом на уязвимости контроля доступа и раскрытия секретов, которые наиболее важны для клиентского медицинского приложения и его API.
• Разрабатывать и отвечать за архитектуру безопасности при переходе Oshi к жизненному циклу разработки программного обеспечения на основе генеративного ИИ, включая критерии фазовых ворот, внеполосные средства контроля, чтобы код, написанный ИИ, никогда не был собственными воротами безопасности, и протестированные процедуры отзыва в случае резкого роста риска.
• Создавать и управлять управлением нечеловеческими идентификаторами и секретами в масштабе, охватывая служебные учетные записи, ограниченные токены, разрешения OAuth и учетные данные машин в нашем облаке SaaS и AWS.
• Обеспечивать безопасность нашей среды AWS от начала до конца, включая IAM, сетевую сегментацию, ведение журналов, шифрование и защиту рабочих нагрузок в S3, EKS и Terraform.
• Внедрять и настраивать наши инструменты безопасности, чтобы они выполняли реальную работу, включая GitHub Advanced Security (CodeQL, поиск секретов, защита от отправки), защиту ветвей и проверку CODEOWNERS на конфиденциальных путях.
• Анализировать интеграцию сторонних поставщиков и решений на основе ИИ перед их взаимодействием с PHI, оценивая потоки данных, хранение и потребности в предотвращении потери данных с здоровым скептицизмом в отношении заявлений поставщиков о безопасности.
• Управлять уязвимостями и отношениями с тестированием на проникновение, доводя выявленные проблемы до завершения и возвращая повторяющиеся проблемы в процесс разработки.
• Поддерживать технические средства защиты в соответствии с правилом HIPAA Security Rule, создавать возможности обнаружения и реагирования, а также автоматизировать процессы, позволяющие небольшой группе безопасности работать с максимальной отдачей.

Что мы ищем — Квалификация и требования

Обязательные требования

• Степень бакалавра в области компьютерных наук или эквивалентный практический опыт.
• Более 6 лет опыта работы в области безопасности, с подтвержденной глубиной знаний в области безопасности приложений/продуктов и облачной безопасности (AWS). Опыт работы в сфере здравоохранения, финтеха или другой регулируемой, чувствительной к данным среде является большим преимуществом.
• Практический опыт работы с инструментами безопасного SDLC: SAST/DAST, GitHub Advanced Security/CodeQL, поиск секретов, а также безопасность цепочки поставок программного обеспечения/зависимостей.
• Сильные знания в области управления идентификацией и доступом, включая Okta, OAuth/OIDC, SAML, устойчивую к фишингу MFA, а также управление нечеловеческими идентификаторами и секретами.
• Знакомство или искреннее желание глубоко разобраться в обеспечении безопасности ИИ/LLM и генеративных систем: инъекции подсказок, авторизация агентов и чрезмерные разрешения, распространение NHI, а также риски, связанные с моделями/цепочками поставок.
• Умение быть единственным специалистом по безопасности в небольшой межфункциональной команде, безжалостно расставлять приоритеты по риску и уметь четко объяснить компромисс как инженерам, так и нетехническим руководителям.
• Рабочее знание правила HIPAA Security Rule, SOC 2 и NIST Cybersecurity Framework.
• Уверенное владение скриптовыми языками и автоматизацией (Python и как минимум одним shell).

Предпочтительные навыки

• Один или несколько сертификатов: OSCP, GIAC (например, GWAPT, GCSA, GCLD), AWS Certified Security – Specialty, CISSP или Okta Certified Professional.
• Опыт работы с платформой автоматизации соответствия требованиям.

Компенсация и льготы

• Диапазон заработной платы: 170 000 – 190 000 долларов США + бонус и значительная доля акций
• Медицинское страхование: 90% стоимости страховых взносов сотрудников, оплачиваемых для медицинского, стоматологического и офтальмологического страхования
• Время отдыха: Гибкий PTO плюс 11 праздничных дней и 1 плавающий праздничный день
• Пенсия: Право на внесение взносов в 401(k)
• Стиль работы: Гибкость удаленной работы, работа из дома в любом месте в утвержденных штатах США

Диапазон компенсации

170 000 – 190 000 долларов США

Примечание: Данное описание вакансии служит общим руководством и может быть изменено в зависимости от потребностей и требований организации.

Oshi Health является работодателем, предоставляющим равные возможности, который стремится создать разнообразную рабочую среду. Для этого мы пропагандируем рабочее место, где к каждому человеку относятся с достоинством и уважением, и его ценят за уникальную точку зрения и вклад.

Политика Oshi Health заключается в поддержании рабочей среды, которая поощряет взаимное уважение, способствует гармоничным и дружелюбным отношениям между сотрудниками и свободна от всех форм дискриминации и преследования любого сотрудника (или кандидата на работу или поставщика услуг) кем-либо, включая руководителей, коллег, поставщиков или клиентов. Преследование и дискриминация в любой форме категорически запрещены. Не допускается никакой дискриминации или неравного обращения любого рода по признаку расы, цвета кожи, религии, вероисповедания, пола, гендера, сексуальной ориентации, гендерной идентичности или выражения, беременности, принятия решений в области сексуального и репродуктивного здоровья, национального происхождения, возраста, инвалидности, генетической информации, семейного положения или статуса гражданского партнерства/союза, семейного положения, военного статуса или статуса ветерана, предрасположенности или носительства, статуса жертвы домашнего насилия, статуса иностранца или гражданства, статуса безработного, статуса жертвы сексуального насилия или преследования, статуса опекуна или любой другой характеристики, защищенной законом.

Эта практика применяется ко всем условиям и привилегиям занятости, включая, помимо прочего, подбор, отбор, продвижение по службе, понижение, перевод, увольнение, повторное трудоустройство, прекращение трудовых отношений, развитие и обучение, компенсацию, льготы и пенсионное обеспечение.

Для получения дополнительной информации посетите нас по адресу www.oshihealth.com

Oshi Health никогда не свяжется с кандидатами через SMS или любую другую платформу обмена сообщениями, включая WhatsApp, Signal и Telegram. Вся официальная переписка будет вестись по электронной почте. Мы никогда не попросим вас предоставить банковские реквизиты, обналичить чек от нас или приобрести программное обеспечение или оборудование в рамках процесса собеседования или найма. Если у вас возникнут сомнения, пожалуйста, свяжитесь с контакт рекрутера, и мы подтвердим, общаетесь ли вы с одним из наших сотрудников Oshi!