Название: Cloud Security Engineer
Местоположение: гибридный / Амстердам / Нидерланды
О вакансии
GoDutch ищет Cloud Security Engineer (GCP), который станет первым выделенным инженером по безопасности в команде разработки в Амстердаме.
GoDutch — это нидерландская финтех-платформа, которой пользуются более 15 000 малых и средних предприятий, и она быстро растет. Бизнес-счета, карты, выставление счетов, бухгалтерский учет и платежи — все это в одном приложении.
Команда разработки быстро растет, она состоит из опытных специалистов и тесно связана с продуктом. Вы будете работать напрямую с CPTO, руководителем отдела разработки и директором по комплаенсу и рискам. Ваша работа будет заметна с первого дня: вы установите базовый уровень безопасности, на котором будет строиться новая платформа и который будут использовать все будущие инженеры.
Кратко о ваших задачах
В финансовом учреждении безопасность — это не только защита систем. Это завоевание доверия клиентов, выполнение ожиданий DORA и надзорных органов, а также обеспечение корректности денежных переводов. Вы будете отвечать за облачную безопасность GoDutch от начала до конца, воплощать письменную политику в работающие средства контроля и управлять специализированными партнерами, которые сегодня обслуживают части стека.
Ваши задачи
В качестве эксперта по безопасности в командах разработки GoDutch это может включать:
Безопасность облака и платформы
- Управление безопасностью организации Google Cloud в GoDutch: IAM, организационные политики, VPC Service Controls, KMS и секреты, ведение журналов и управление облачной безопасностью.
- Укрепление безопасности среды Kubernetes, на которой размещена банковская платформа, включая изоляцию рабочих нагрузок и контроль доступа по принципу минимальных привилегий между сервисами.
- Обеспечение безопасности слоя событий и оркестрации (Kafka, Temporal, Apache Camel) и платформы данных (BigQuery), включая шифрование, доступ и местоположение данных.
- Обзор и консультирование по вопросам безопасности системных дизайнов, интеграций с партнерами и API (основной банкинг, обработка карт, платежи, KYC/KYB).
- Создание и поддержка панелей мониторинга безопасности, которые дают руководству и правлению четкое представление об облачных активах и уровне безопасности.
Безопасная разработка (DevSecOps)
- Сотрудничество с командой разработки и партнером платформы для встраивания проверок безопасности в CI/CD и GitOps (Argo CD): SAST, сканирование зависимостей и контейнеров, проверки политик IaC, обнаружение секретов.
- Разработка руководств по безопасной разработке для сервисов Java/Quarkus и TypeScript, а также поддержка команд в их внедрении.
- Проведение моделирования угроз для новых функций и интеграций, связанных с денежными переводами или обработкой данных клиентов.
Обнаружение, реагирование и устойчивость
- Настройка и оптимизация обнаружения угроз, оповещений и планов реагирования на облачные рабочие нагрузки, средства наблюдения и конечные точки.
- Участие в реагировании на инциденты, включая расследование инцидентов безопасности и предоставление информации для классификации и отчетности по крупным инцидентам DORA.
- Внесение вклада в сценарии безопасности для тестирования непрерывности бизнеса и аварийного восстановления.
- Координация пентестов и, где применимо, тестов, основанных на анализе угроз; отслеживание выявленных проблем до их устранения.
Управление, риски и соответствие требованиям
- Преобразование политик и стандартов информационной безопасности GoDutch в реализованные, подтвержденные средства контроля в соответствии с CIS Controls, ISO 27001 и DORA.
- Ведение реестра ИКТ-активов и процесса управления уязвимостями, а также предоставление платформе GRC подтверждений соответствия.
- Оценка безопасности ИКТ сторонних поставщиков и поддержка Реестра информации и контрактных требований в рамках DORA.
- Подготовка доказательств и ответов для регуляторов, аудиторов и для проверки партнеров.
- Координация работы с управляемыми поставщиками услуг GoDutch и внешним партнером по безопасности, контроль за соблюдением ими согласованного объема работ и качества.
Осведомленность и постоянное совершенствование
- Проведение обучения по вопросам безопасности и повышения осведомленности для команды разработки и всей компании.
- Отслеживание метрик безопасности и отчетность об улучшении уровня безопасности CPTO и руководству.
- Быть в курсе новых угроз и рекомендовать инструменты и практики, подходящие для небольшой команды.
Наш технологический стек
Java/Quarkus, TypeScript, Python/Django, Google Cloud Platform (GCP), Kubernetes, Kafka, Temporal, Apache Camel, Argo CD.
Инструменты безопасности включают управление облачной безопасностью, корпоративное EDR, централизованное ведение журналов и средства наблюдения, сетевой доступ с нулевым доверием и централизованный поставщик удостоверений, управляемые совместно со специализированными партнерами. Подробности будут предоставлены в процессе собеседования.
Что нужно для успеха
GoDutch ищет увлеченного безопасностью специалиста, который сочетает глубокие технические знания с четкой коммуникацией и чувствует себя комфортно, будучи первым инженером по безопасности в растущей команде. Кроме того, GoDutch требует:
- Подтвержденный опыт работы в области облачной безопасности (обычно 5+ лет в области безопасности или платформенной инженерии).
- Экспертные знания в области облачной безопасности: IAM, организационные политики, средства контроля сетевого периметра, KMS, централизованное ведение журналов.
- Практический опыт работы с инструментами управления облачной безопасностью (CSPM/CNAPP).
- Опыт защиты рабочих нагрузок Kubernetes и Infrastructure as Code.
- Знание методов обнаружения угроз, управления уязвимостями и реагирования на инциденты с использованием инструментов SIEM/EDR.
- Опыт встраивания безопасности в конвейеры CI/CD.
- Рабочие знания регуляторных рамок и рамок контроля, применимых к финансовым услугам: DORA, ISO 27001, CIS Controls, GDPR.
- Опыт работы с управляемыми поставщиками услуг или внешними партнерами по безопасности и привлечения их к ответственности.
- Сильные коммуникативные навыки и способность объяснять риски безопасности как инженерам, так и руководству и надзорным органам.
- Свободное владение английским языком; право на работу в Нидерландах.
Желательно
- Сертификаты по безопасности (например, CISSP, CCSP, Google Professional Cloud Security Engineer, GIAC).
- Опыт работы в лицензированном платежном учреждении, EMI или банке, в идеале под надзором DNB или ECB.
- Опыт работы с управлением ИКТ-рисками DORA, управлением рисками третьих сторон или тестированием на проникновение на основе анализа угроз (TIBER/TLPT).
- Знакомство с безопасностью карт (PCI DSS) и платежей, включая SEPA и сильную аутентификацию клиентов PSD2.
- Опыт работы с архитектурами, управляемыми событиями (Kafka, Temporal), и обеспечением безопасности связи между сервисами.
- Опыт работы с платформами доступа и идентификации с нулевым доверием.
- Опыт работы с платформой GRC и автоматизированным подтверждением соответствия.
- Знание безопасного кодирования и тестирования безопасности приложений (SAST/DAST) для Java и TypeScript
Почему стоит присоединиться к GoDutch в качестве Cloud Security Engineer?
- Вы будете первым выделенным инженером по безопасности, который будет формировать архитектуру безопасности новой финансовой платформы, а не наследовать ее.
- Вы будете защищать деньги и данные тысяч пользователей.
- Вы будете работать с современным облачным стеком и оказывать реальное влияние на выбор инструментов и практик безопасности.
- Вы будете работать напрямую с CPTO, руководством отдела разработки и отделом комплаенса, с короткими линиями принятия решений.
- Вы поможете GoDutch масштабироваться безопасно на конкурентном рынке и сможете развивать функцию безопасности вместе с ростом команды.
Офис в Амстердаме на Рокин, с гибридным форматом работы
