Cybersecurity Assessment Engineer

Должность: Инженер по оценке кибербезопасности Местоположение: Удаленно

Вознаграждение: $155K - $175K в год

Инженер по оценке кибербезопасности

Second Front Systems (2F) ищет инженера по оценке кибербезопасности для проведения практических оценок безопасности программного обеспечения, развернутого через платформу Game Warden.

Это не позиция оператора сканирования или только по чек-листам. Мы ищем человека, который сможет расследовать технические находки, понимать, как приложение создается и развертывается, отличать реальный риск от шума сканера и предоставлять командам инженеров практические рекомендации, которым они могут следовать.

Подчиняясь руководителю отдела безопасности продуктов и соответствия требованиям, вы будете оценивать клиентские приложения, контейнерные образы, облачные конфигурации, зависимости программного обеспечения и вспомогательные артефакты до и после развертывания. Вы будете работать напрямую с командами продакшена, инжиниринга платформ, DevOps, обеспечения успеха миссии и командами разработчиков клиентов для выявления уязвимостей, оценки их реального риска и определения готовности приложения к работе в Game Warden.

Ваша работа будет напрямую влиять на решения о развертывании, устранение уязвимостей, непрерывный мониторинг и состояние безопасности платформы, поддерживающей критически важное государственное программное обеспечение.

Примечание: Кандидаты должны проживать в одном из наших утвержденных центров найма: • Округ Колумбия/Мэриленд/Вирджиния • Роли-Дарэм-Чапел-Хилл, Северная Каролина • Денвер/Колорадо-Спрингс, Колорадо • Даллас/Форт-Уэрт, Техас

Это полная занятость.

Что вы будете делать • Проводить технические оценки безопасности клиентских приложений и сервисов, предназначенных для развертывания через платформу Game Warden. • Анализировать артефакты приложений, контейнерные образы, зависимости программного обеспечения, конфигурации инфраструктуры, потоки данных, API и документацию по развертыванию для выявления слабых мест в безопасности. • Анализировать результаты работы инструментов SAST, DAST, анализа состава программного обеспечения, сканирования контейнеров, сканирования инфраструктуры как кода, обнаружения секретов и управления уязвимостями. • Выступать в качестве доверенного партнера по технической безопасности для команд обеспечения успеха миссии, инжиниринга платформ, DevOps и команд разработчиков клиентов. • Сотрудничать со специалистами по авторизации безопасности, чтобы результаты технической оценки и подтверждающие документы могли быть использованы для RMF, FedRAMP и мероприятий по непрерывному мониторингу. • Предоставлять разработчикам четкие рекомендации по устранению уязвимостей, указывая уязвимый компонент, объясняя риск и рекомендуя конкретные исправительные действия. • Оценивать запросы на исключение уязвимостей или отсрочку их устранения. Проверять заявленные обоснования, изучать компенсирующие меры контроля и предоставлять документированную рекомендацию по риску соответствующему утверждающему органу. • Поддерживать периодические проверки непрерывного мониторинга, выявляя новые уязвимости, отклонения в конфигурации, устаревшие зависимости и изменения, влияющие на ранее оцененные приложения. • Сообщать о результатах оценки напрямую техническим и нетехническим заинтересованным сторонам, включая клиентов, которым может потребоваться помощь в понимании результатов и ожиданий по их устранению. • Создавать четкие записи об оценке, документирующие объем, методологию, рассмотренные доказательства, выявленные находки, проведенный анализ рисков и статус устранения.

Что вы принесете • Иметь 5-7 лет практического опыта в области безопасности приложений, безопасности продуктов, оценки уязвимостей, облачной безопасности, тестирования на проникновение, DevSecOps или тесно связанной технической дисциплины в области безопасности. • Глубокое понимание распространенных уязвимостей приложений и облачных сред, включая OWASP Top 10, небезопасные конфигурации, риски зависимостей, раскрытие секретов, слабые места в аутентификации, ошибки авторизации и угрозы цепочки поставок программного обеспечения. • Практический опыт оценки приложений или сервисов, развернутых в AWS, Azure или Google Cloud. Прямой опыт работы с AWS очень предпочтителен. • Рабочие знания контейнеров, Docker, Kubernetes, реестров контейнеров, конвейеров CI/CD и современных практик доставки программного обеспечения. • Опыт использования различных технологий тестирования безопасности, таких как SAST, DAST, анализ состава программного обеспечения, сканирование контейнеров, сканирование инфраструктуры как кода, обнаружение секретов и сканеры уязвимостей. • Способность интерпретировать CVE, векторы CVSS, оценки EPSS, записи CISA KEV, рекомендации поставщиков, информацию об эксплойтах и другие источники, используемые для оценки риска уязвимостей. • Опыт анализа SBOM и расследования уязвимых зависимостей в открытом или стороннем программном обеспечении. • Рабочие знания DISA STIGs, Security Requirements Guides, CIS Benchmarks и практик безопасной конфигурации. • Практическое понимание NIST SP 800-53, NIST SP 800-37, непрерывного мониторинга и роли, которую доказательства технической оценки играют в государственных программах авторизации. • Способность четко объяснить техническую находку, обосновать вывод о риске и предоставить полезные рекомендации по устранению уязвимостей инженерам-программистам и клиентам. • Здравый смысл при работе с неполной информацией, противоречивыми результатами сканирования и проблемами безопасности без очевидного решения. • Подтвержденный опыт интерпретации результатов сканирования безопасности и самостоятельной проверки точности, доступности и возможности эксплуатации сообщенных уязвимостей.

• Эта должность требует возможности получения и поддержания допуска Public Trust.

• Гражданство США требуется для этой роли.

Предпочтительно • Опыт поддержки FedRAMP Moderate, FedRAMP High, DoD RMF или других государственных программ авторизации. • Опыт обеспечения безопасности или оценки платформ DevSecOps на основе Kubernetes, сред Platform-as-a-Service или многопользовательских облачных сервисов. • Знакомство с GitLab, Docker, Kubernetes, Terraform, Anchore, Trivy, Tenable и инструментами облачной наблюдаемости. • Опыт прямой работы с командами разработчиков программного обеспечения по устранению уязвимостей и улучшению практик безопасной разработки. • Сертификаты, такие как Security+, CySA+, CSSLP, AWS Certified Security, Certified Kubernetes Security Specialist, GIAC или сопоставимые технические сертификаты. • Сильный интерес к защите систем национальной безопасности и улучшению способов оценки и доставки программного обеспечения для выполнения миссии.

Базовая зарплата для этой должности будет составлять от $155 000 до $175 000. Ваше окончательное вознаграждение будет определяться профессиональным опытом, технической квалификацией, стажем работы и региональными факторами стоимости жизни. Кроме того, эта возможность включает потенциальную возможность получения опционов на акции и дискреционных бонусов, что дополняет комплексное предложение вознаграждений.

Успех в 2F выглядит так: • Проактивный подход, ориентированный на поиск решений • Рассмотрение препятствий как возможностей для роста • Склонность к действиям и достижению ощутимых, измеримых результатов • Командная ориентация с акцентом на личную ответственность и автономию

Льготы и преимущества: Эта роль предполагает полную занятость. Являясь общественной корпорацией, мы — команда целеустремленных первопроходцев, трансформирующих будущее национальной безопасности США. Мы нанимаем лучших, чтобы они могли делать свою лучшую работу, и поэтому мы стремимся предоставлять льготы и преимущества, необходимые вам для достижения успеха — как на рабочем месте, так и за его пределами.

Преимущества присоединения к нашей команде: • Конкурентоспособная заработная плата • 100% медицинское, стоматологическое и офтальмологическое страхование, оплачиваемое работодателем для вас и ваших иждивенцев • План 401(k) с 3% вкладом компании • Комплексные программы оздоровления, включая членство в One Medical, ресурсы по охране психического здоровья, поддержку планирования семьи и многое другое • План опционного вознаграждения • Пособие на новую технику и домашний офис • Ежегодное пособие на профессиональное развитие • Гибкий оплачиваемый отпуск, плюс все федеральные праздники • Щедрый оплачиваемый отпуск по уходу за ребенком • Гибкие возможности удаленной работы • Программа поощрения сотрудников за рекомендации Посетите нашу страницу с вакансиями, чтобы узнать больше.

Кто мы: Second Front Systems (2F) — компания-разработчик программного обеспечения, являющаяся общественным благом и обеспечивающая работу программного обеспечения для свободного мира. Мы устраняем препятствия, замедляющие инновации, обеспечивая более быструю и безопасную разработку и развертывание программного обеспечения в государственных и регулируемых сетях. Наша платформа, созданная ветеранами национальной безопасности и поддерживаемая ведущими венчурными фондами, используется ведущими мировыми организациями для сокращения сроков развертывания с лет до недель. Мы быстро движемся, решаем сложные задачи и предоставляем надежные возможности там, где они больше всего нужны. Наша работа укрепляет глобальную безопасность и дает Соединенным Штатам и их союзникам устойчивое конкурентное преимущество. Узнайте больше на secondfront.com.

И последнее: Мы являемся работодателем с равными возможностями, и все квалифицированные кандидаты получат рассмотрение на предмет трудоустройства независимо от расы, цвета кожи, религии, пола, сексуальной ориентации, гендерной идентичности или выражения, беременности, возраста, национального происхождения, статуса инвалидности, генетической информации, статуса ветерана, подлежащего защите, или любой другой характеристики, защищенной законом.

Готовы присоединиться к нашей команде: Чтобы подать заявку, нажмите кнопку «Подать заявку на эту вакансию» вверху или внизу этой страницы и заполните форму заявки. Эта вакансия будет открыта до ее заполнения, а заявки будут рассматриваться на постоянной основе.

Уведомления штатов: Колорадо: В соответствии с законодательством Колорадо заявители могут изъять дату своего рождения, даты посещения и даты окончания обучения из любых загруженных документов.

Мэриленд: В соответствии с законодательством штата Мэриленд работодатель не может требовать или настаивать в качестве условия трудоустройства, перспективного трудоустройства или продолжения трудоустройства, чтобы лицо подвергалось полиграфическому экзамену или аналогичному тесту. Работодатель, нарушивший этот закон, признается виновным в мисдиминоре и подлежит штрафу в размере, не превышающем $100.