Название: Инженер по безопасности приложений (Staff Engineer) Компания: Fingerprint Местоположение: Удаленно

Fingerprint помогает предприятиям обнаруживать и пресекать онлайн-мошенничество с помощью самой точной в мире информации об устройствах. Мы лидируем в нашей отрасли благодаря передовым возможностям идентификации и работаем над воплощением в жизнь новых идей и открытий в области обнаружения мошенничества. Наши клиенты — от инновационных стартапов до ведущих корпоративных компаний, включая Plaid, Dropbox и Booking.com. Fingerprint — это глобально распределенная, на 100% удаленная компания. Мы были включены в список Forbes "Best Startup Employers" 2026 года и заняли 803-е место в списке Inc. 5000 самых быстрорастущих частных компаний Америки 2026 года. Мы привлекли 77 миллионов долларов и поддерживаемся Craft Ventures (Tesla, Facebook, Airbnb), Nexus Venture Partners (Postman, Apollo.io, MinIO, Druva) и Uncorrelated Ventures (Redis, Rollbar, Gradle).

Роль в контексте Платформа Fingerprint для анализа данных об устройствах обрабатывает миллиарды идентификационных событий для некоторых из самых осведомленных о безопасности компаний в мире — финансовых учреждений, операторов по предотвращению мошенничества и предприятий, которые полагаются на нас для борьбы с злоумышленниками. Это делает безопасность наших собственных приложений функциональной возможностью продукта, а не функцией бэк-офиса: противники наших клиентов по определению мотивированы исследовать то, что мы создаем.

По мере масштабирования с крупными корпоративными клиентами мы инвестируем в безопасность приложений как в выделенную, первоклассную инженерную дисциплину. Безопасность уже является частью того, как наши команды создают продукты — сканирование в конвейере, команда Cloud Platform, которая относится к безопасности как к партнеру, и зрелое состояние соответствия требованиям — и теперь мы создаем сфокусированную функцию AppSec под руководством старшего менеджера по безопасности приложений, который отвечает за программу и стратегию, чтобы вывести ее на новый уровень. Вы станете старшим инженером-основателем этой функции — человеком, который воплощает стратегию в работающий безопасный SDLC, находит и устраняет критически важные проблемы, а также повышает уровень безопасности во всей инженерной команде за счет технической глубины, инструментов и влияния.

Это практическая роль Staff-уровня. Вы будете проектировать, создавать и эксплуатировать, а не только консультировать.

Что вы будете делать

Безопасный SDLC и инженерная безопасность

Проектировать и создавать безопасный жизненный цикл разработки Fingerprint: требования безопасности, моделирование угроз на этапе проектирования, обзор безопасного кода и тестирование безопасности перед выпуском — интегрированное в то, как инженеры уже работают, а не добавленное как отдельный этап.
Владеть и эксплуатировать конвейер инструментов безопасности: SAST, DAST, SCA/сканирование зависимостей, обнаружение секретов и сканирование контейнеров/IaC (Snyk и аналоги) — настроенное для получения ценных данных, интегрированное в CI/CD, с четкой ответственностью и SLA для найденных проблем.
Создавать конвейер на основе AI: триаж с помощью ИИ и автоматическое исправление, агенты обзора безопасности, работающие в цикле кодирования и в CI, и тестирование с помощью ИИ — и решать, опираясь на доказательства, чему можно доверять блокировку, пометку или исправление самостоятельно.
Создавать «безопасные по умолчанию» пути: безопасные настройки по умолчанию, усиленные библиотеки и фреймворки, повторно используемые шаблоны (аутентификация/авторизация, проверка ввода, работа с секретами, криптография), которые делают безопасный путь простым.
Писать код. Вносить исправления, библиотеки безопасности, интеграции CI и автоматизацию непосредственно в инженерные репозитории.

Моделирование угроз, обзоры безопасности и управление уязвимостями

Руководить моделированием угроз и обзорами безопасности архитектуры для новых продуктов, функций и существенных изменений в API, SDK (веб и мобильных), панели управления и конвейере данных.
Управлять и развивать программу управления уязвимостями: триаж, оценка риска и устранение последствий обнаруженных проблем из сканеров, пентестов, баг-баунти и отчетов клиентов — с четкими стандартами серьезности и SLA по устранению.
Сотрудничать с руководителем отдела соответствия нормативным требованиям, который сегодня управляет программой пентестов, по определению масштабов, повторному тестированию и преобразованию найденных проблем в инженерную работу — вы привносите техническую глубину и отвечаете за устранение.
Проводить практическое тестирование безопасности платформы Fingerprint — ручной обзор и эксплуатация проблем аутентификации/авторизации, API, инъекций, SSRF, бизнес-логики и путей злоупотребления — с особым вниманием к поверхности угроз мошенничества и обнаружения ботов, где злоумышленники активно пытаются обойти продукт.

Реагирование на инциденты и обнаружение (уровень приложений)

Выступать в качестве технического руководителя по инцидентам безопасности на уровне приложений: расследование, сдерживание, установление основной причины и устранение последствий — в сотрудничестве с Cloud Platform по инцидентам инфраструктуры.
Определять, какая регистрация и оповещение по безопасности приложений должны существовать, и сотрудничать с Cloud Platform и инженерными командами для их реализации.

Культура безопасности и поддержка

Выступать в качестве партнера AppSec для инженерных команд: консультации, консультации по проектированию, руководство по безопасному кодированию и программа Security Champions, которая расширяет ваш охват за пределы одного человека.
Разрабатывать и проводить практическое обучение безопасному кодированию, основанное на реальном коде Fingerprint и реальных находках.
Наставлять инженеров в мышлении безопасности и повышать общий уровень за счет обзора кода и обратной связи по дизайну.

Партнерство и доверие клиентов

Сотрудничать со старшим менеджером по безопасности приложений в разработке дорожной карты AppSec: предоставлять технические находки, оценки рисков и рекомендации, которые формируют приоритеты; отвечать за выполнение технической программы.
Предоставлять инженерные доказательства для элементов управления безопасностью, когда это необходимо для соответствия требованиям — вы делаете элементы управления реальными; программа соответствия регулируется другим отделом.
Поддерживать беседы о безопасности с корпоративными клиентами, обладая технической глубиной: анкеты, вопросы по архитектуре, резюме пентестов и звонки по комплексной проверке с командами InfoSec клиентов.
Участвовать в оценках безопасности поставщиков, где сторонний код или интеграции затрагивают платформу.

Кого мы ищем

Требования:

8+ лет в области разработки программного обеспечения и/или инженерной безопасности, из которых 5+ лет — в области безопасности приложений — вы были практическим инженером AppSec в продуктовой компании, а не консультантом или аудитором.
Прочная основа в области разработки программного обеспечения: вы пишете код производственного качества (TypeScript/JavaScript, Go, Python или аналогичный), понимаете современные веб-архитектуры и API, а также комфортно работаете в инженерных репозиториях и конвейерах CI/CD.
Глубокая практическая экспертиза в области AppSec: OWASP Top 10 и далее — дизайн аутентификации и авторизации, безопасность API, классы инъекций, SSRF, неправильное использование криптографии, бизнес-логика и ошибки злоупотребления. Вы можете найти эти проблемы вручную, объяснить, почему они важны, и предложить исправления, которые принимают инженеры.
Опыт моделирования угроз и обзоров безопасности: вы руководили обзорами безопасности на этапе проектирования сложных систем и создавали модели угроз, которые использовали инженеры.
Опыт работы с программой инструментов безопасности: вы развертывали и настраивали инструменты SAST/DAST/SCA/обнаружения секретов в CI/CD и делали их полезными, а не источником шума.
Инструменты безопасности, основанные на AI: вы использовали анализ кода с помощью ИИ, триаж или автоматическое исправление в реальной программе — а не в пробном режиме — и сформировали мнения о том, где он надежен, где генерирует шум, и что следует разрешить для блокировки слияния. Вы ежедневно используете агентов ИИ в своей собственной работе по обеспечению безопасности.
Ответственность за управление уязвимостями: вы управляли триажем, оценкой серьезности, отслеживанием устранения и программами пентестов с реальными SLA.
Влияние без полномочий: подтвержденный опыт повышения результатов в области безопасности в инженерных командах за счет авторитета, партнерства и хороших инструментов, а не приказов.
Четкая коммуникация: вы пишете точные выводы и обратную связь по дизайну, а также можете объяснить технические риски инженерам, руководству и командам безопасности клиентов.

Желательно:

Опыт работы в области обнаружения мошенничества, предотвращения ботов, идентификации или анализа данных об устройствах — здесь существует реальная и специфическая для домена поверхность угроз.
Глубокие знания в области облачной безопасности в AWS (IAM, сетевые границы, управление секретами, идентификация рабочих нагрузок) и знакомство с инструментами CSPM Wiz или эквивалентными.
Безопасность клиентских SDK и мобильных SDK: модель безопасности браузера, защита от несанкционированного доступа, компромиссы при обфускации, усиление защиты SDK для iOS/Android.
Опыт работы с многопользовательским SaaS с высокопроизводительными API, чувствительными к задержкам.
Эксплуатация программы баг-баунти (HackerOne, Bugcrowd или эквивалент).
Осведомленность о безопасности AI/ML: функции, интегрированные с LLM, инъекции подсказок, разрешения для агентов, риски моделей и конвейеров данных.
Опыт использования автономного или управляемого ИИ пентестинга и симуляции атак, а также понимание того, как это дополняет тестирование, проводимое людьми.
Сертификаты безопасности (OSCP, OSWE, GWAPT, CSSLP) или опубликованные исследования, CVE или вклад в безопасность открытого исходного кода.
Опыт поддержки элементов управления SOC 2 / ISO 27001 в качестве инженерного владельца элемента управления, а не владельца программы.

Структура этой роли

Это ведущая роль индивидуального исполнителя, соответствующая старшему менеджеру по безопасности приложений. Менеджер отвечает за программу, стратегию и команду; вы отвечаете за техническую глубину и исполнение. Эти две роли предназначены для совместной работы: вы будете предоставлять результаты, инженерное суждение и истину с точки зрения кода, и вместе вы будете решать, что приоритизировать.

Как Staff-инженер, вы должны работать с высокой степенью независимости — определять масштаб неоднозначных проблем, устанавливать техническое направление для AppSec и управлять многомесячными инициативами без необходимости ежедневного руководства. Будучи инженером-основателем выделенной функции AppSec, шаблоны, инструменты и стандарты, которые вы установите, станут основой для развития этой практики.

Это не роль для тех, кто хочет в основном писать политики или управлять программой на расстоянии. Это для инженера, который находит реальные ошибки, создает реальные инструменты и завоевывает доверие других инженеров, улучшая их код.

Почему эта роль?

Формирование выделенной функции AppSec с самого начала, при поддержке менеджера и мандата — эти инвестиции спонсируются на уровне VP и являются приоритетными.
Действительно важная проблема безопасности: клиенты Fingerprint используют нас для предотвращения мошенничества и злоупотреблений. Злоумышленники реальны, квалифицированы и мотивированы — модель угроз здесь более интересна, чем в большинстве SaaS-компаний.
Современный стек и инструменты уже установлены: Snyk, Wiz, Cloudflare, Okta и команда Cloud Platform, которая относится к безопасности как к партнеру, а не как к препятствию.
Ваше время уходит на инженерию: соответствие требованиям, IT и инфраструктура — все это находится в ведении компетентных команд, поэтому вы проводите дни за кодом, находками и инструментами — а не за сбором доказательств или обработкой очередей заявок.
Масштаб и автономия на уровне Staff: вы определяете техническое направление развития безопасности приложений в компании, где безопасность является отличительной чертой при продажах корпоративным клиентам.

Компенсация и прозрачность

В Fingerprint мы верим в прозрачность оплаты труда — это часть того, как мы работаем как распределенная, ориентированная на удаленную работу команда. Заработная плата зависит от функции, уровня и географического местоположения, сравниваясь с компаниями аналогичной стадии развития.

Поскольку эта роль открыта по всей территории Соединенных Штатов и может базироваться где угодно, где работают наши сотрудники, диапазон заработной платы отражает это географическое разнообразие: 177 000 - 240 000 долларов США.

Примеры заработной платы для конкретных местоположений ниже:

Нью-Йорк: 209 000 - 240 000 долларов США
Чикаго: 177 000 - 204 000 долларов США

Окончательные суммы предложений определяются множеством факторов, включая местоположение, опыт и квалификацию успешного кандидата, и могут отличаться от указанных выше сумм.

По регуляторным и безопасностным причинам существует небольшое количество стран, где мы не можем иметь сотрудников Fingerprint. Кроме того, поскольку Fingerprint является полностью удаленной компанией, и люди могут присоединиться к нашей рабочей силе практически из любой страны, мы не спонсируем визы. Сотрудники Fingerprint должны иметь разрешение на работу из своего домашнего местоположения.

Мы стремимся создать инклюзивную рабочую среду для всех. Мы принимаем и отмечаем уникальный опыт, точки зрения и культурное происхождение, которые каждый сотрудник привносит на наше рабочее место. Fingerprint стремится создать среду, в которой сотрудники чувствуют себя уважаемыми, ценными и уполномоченными, и наши сотрудники находятся на переднем крае в содействии и поддержании инклюзивной рабочей среды. Мы настоятельно призываем к подаче заявок представителей групп, недостаточно представленных в технологической отрасли.

Если вы подаете заявление в качестве резидента Калифорнии, ознакомьтесь с нашим уведомлением CCPA здесь.

Если вы подаете заявление в качестве резидента ЕС, ознакомьтесь с нашим уведомлением GDPR здесь.

Мы заметили рост числа случаев подражания рекрутерам в отрасли, когда мошенники пытаются получить доступ к личной и финансовой информации кандидатов через поддельные собеседования и предложения. Все коммуникации рекрутеров Fingerprint всегда будут поступать с домена @fingerprint.com. Любые обращения от имени Fingerprint через другие источники должны игнорироваться.