Security Engineer

Должность: Инженер по безопасности Местоположение: США - Удаленно / Удаленно

Вознаграждение: 150 000 - 245 000 долларов США в год

О КОМПАНИИ

Deepgram — ведущая платформа, лежащая в основе развивающейся экономики голосового ИИ стоимостью в триллион долларов, предоставляющая API в реальном времени для преобразования речи в текст (STT), текста в речь (TTS) и создания готовых к производству голосовых агентов в масштабе. Более 200 000 разработчиков и 1300+ организаций создают голосовые решения, работающие на Deepgram, включая Twilio, Cloudflare, Sierra, Decagon, Vapi, Daily, Cresta, Granola и Jack in the Box. Фундаментальные модели Deepgram для голосовых данных доступны через облачные API или как самостоятельное и локальное программное обеспечение, с непревзойденной точностью, низкой задержкой и экономической эффективностью. При поддержке недавнего раунда финансирования Серии C под руководством ведущих мировых инвесторов и стратегических партнеров, Deepgram обработала более 50 000 лет аудио и транскрибировала более 1 триллиона слов. Ни одна организация в мире не понимает голос лучше, чем Deepgram.

РИТМ РАБОТЫ КОМПАНИИ

В Deepgram мы ожидаем ИИ-ориентированного мышления — использование и комфортное владение ИИ не являются дополнительными; они являются основой того, как мы работаем, внедряем инновации и измеряем производительность.

Ожидается, что каждый член команды, работающий в Deepgram, будет активно использовать и экспериментировать с передовыми инструментами ИИ, и даже интегрировать их в свою повседневную работу. Мы измеряем, насколько эффективно ИИ применяется для достижения результатов, и последовательное, креативное использование новейших возможностей ИИ является ключом к успеху здесь. Кандидаты должны быть готовы быстро осваивать новые модели и методы, интегрировать ИИ в свои рабочие процессы и постоянно расширять границы того, что могут делать эти технологии.

Кроме того, мы движемся в темпе развития ИИ. Изменения происходят быстро, и вы можете ожидать, что ваша повседневная работа будет меняться так же быстро. Это может быть не та роль, если вы не готовы экспериментировать, адаптироваться, быстро принимать решения и постоянно учиться, или если вы ищете что-то строго предписанное с традиционным графиком с 9 до 5.

ВОЗМОЖНОСТЬ

Deepgram ищет инженера по безопасности для создания и автоматизации технических средств контроля в рамках нашей программы безопасности. Большая часть нашей инфраструктуры — это физическое оборудование в колокационных дата-центрах — с интенсивным использованием GPU, работающее с контейнеризированными нагрузками на Docker, управляемое с помощью Ansible и развертываемое через CI/CD на GitHub Actions — с использованием AWS для избыточной мощности и небольшого набора сервисов. Наша инженерная культура основана на высоком доверии и быстром развитии. Это означает, что средства контроля должны доставляться в виде кода, быть воспроизводимыми и генерировать собственные аудиторские доказательства — всё, что зависит от того, что кто-то помнит сделать это вручную, не выживет.

Вы будете владеть реальной зоной ответственности: усиление защиты хостов и управление конфигурациями во всем парке оборудования, управление уязвимостями и исправлениями, тестирование на проникновение, безопасность контейнеров, обнаружение и реагирование, безопасность CI/CD и цепочки поставок, а также инженерная работа, лежащая в основе наших обязательств по SOC 2, PCI DSS и ISO 27001. Вам также будет предложено агрессивно использовать ИИ и агентские инструменты, чтобы превзойти свои возможности в небольшой команде, и помочь нам обезопасить ИИ-системы, которые мы создаем, и ИИ-инструменты, которые мы внедряем внутри компании.

Это практическая техническая позиция. Руководитель по GRC и соответствию требованиям безопасности отвечает за разработку политики, заполнение опросников по безопасности и взаимодействие с аудитором; вы отвечаете за сами средства контроля и генерируемые ими доказательства, и вы предоставляете этой роли необходимые технические ответы.

Эта роль подчиняется Директору по информационной безопасности.

Примечание: как отражено в наших опубликованных диапазонах вознаграждения, мы открыты к разным уровням. Сильные кандидаты среднего и старшего уровня подходят, и мы определим должность, объем работы и вознаграждение в соответствии с продемонстрированным опытом.

О DEEPGRAM

Deepgram создает фундаментальные голосовые ИИ — преобразование речи в текст, текста в речь и инфраструктуру голосовых агентов — используемые предприятиями и разработчиками для создания производственных голосовых приложений в масштабе. Наши модели обучаются и обслуживаются на нашей собственной инфраструктуре, и мы предлагаем варианты развертывания: облачное, выделенное однопользовательское и локальное, чтобы клиенты могли соответствовать своим собственным требованиям к резидентности и хранению данных. Узнайте больше на deepgram.com.

ОБЯЗАННОСТИ

• Создавать, развертывать и поддерживать средства контроля безопасности в нашем парке физического оборудования и в AWS — управление доступом, сегментация сети и межсетевое экранирование, шифрование и управление секретами, покрытие логирования и обнаружения, безопасность конечных точек и управление уязвимостями.

• Владеть управлением конфигурациями и усилением защиты хостов в виде кода с помощью Ansible, чтобы базовые конфигурации были воспроизводимы для сотен Linux-хостов, а отклонения были обнаружимы, а не просто документированы.

• Обеспечивать безопасность контейнеризированных рабочих нагрузок: конвейеры сборки образов Docker, сканирование реестра, усиление защиты во время выполнения и обнаружение, а также управление секретами.

• Полностью управлять процессом управления уязвимостями — обнаружение, приоритизация на основе реальной возможности эксплуатации, а не сырого CVSS, управление устранением проблем с инженерными командами и отчетность по нему.

• Владеть процессом управления обновлениями и исправлениями как программой: парк серверов, парк конечных точек, базовые образы, обновления ОС и пакетов, прошивки, где это важно, и обновления зависимостей. Устанавливать и соблюдать SLA по установке исправлений, отслеживать исключения и автоматизировать рутинные случаи, чтобы они не зависели от чьей-либо памяти.

• Владеть жизненным циклом тестирования на проникновение: определение объема работ и выбор поставщика, планирование, обработка результатов как инженерных задач с реальными владельцами и сроками, проверка исправлений при повторном тестировании и создание резюме, которым мы можем поделиться с клиентами.

• Писать правила обнаружения, отсеивать ложные срабатывания и участвовать в реагировании на инциденты. Улучшать покрытие журналов, телеметрии и агентов безопасности там, где у нас есть слепые зоны.

• Проводить периодические обзоры журналов и доступов в качестве постоянного средства контроля и автоматизировать сбор, чтобы каждый цикл давал собственные доказательства, а не авральную работу.

• Автоматизировать сбор доказательств соответствия для SOC 2, PCI DSS и ISO 27001, а также поддерживать полевые аудиты по техническим вопросам — руководитель GRC отвечает за взаимодействие с аудитором и повествование; вы отвечаете за системы, которые делают доказательства истинными и повторяемыми.

• Усиливать защиту GitHub Actions CI/CD и цепочки поставок программного обеспечения: сканирование зависимостей и секретов, закрепление действий, SBOM, подпись артефактов и образов, OIDC с наименьшими привилегиями вместо долгоживущих учетных данных.

• Применять ИИ и агентские инструменты для работы в области безопасности — триаж, сбор доказательств, проверка кода, инженерия обнаружения — и помогать обеспечивать безопасность использования ИИ в компании.

• Предоставлять техническую информацию для работы с клиентами по вопросам безопасности: ответы на опросники и архитектурные вопросы, резюме тестов на проникновение и руководства по усилению защиты для клиентов, использующих локальную версию Deepgram.

ТРЕБУЕМЫЕ НАВЫКИ

• Уверенный опыт работы в области инженерной безопасности или инфраструктурной инженерии с фокусом на безопасность — достаточный, чтобы вы отвечали за средства контроля в производстве, а не только рекомендовали их.

• Глубокое знание Linux. Вам должно быть комфортно усиливать защиту, отлаживать и анализировать большой парк физических Linux-хостов — пользователи и sudo, SSH, systemd, обновления ядра и пакетов, брандмауэры хостов и то, что на самом деле делает агент на хосте.

• Ansible в масштабе парка оборудования обязателен. Вы сначала автоматизируете, а потом документируете.

• Сильное владение скриптовыми языками. Python и/или Go, плюс реальная компетенция в работе с оболочкой.

• Опыт работы в производстве по обеспечению безопасности Docker-контейнеров и конвейеров, которые их собирают.

• Практический опыт обеспечения безопасности GitHub и GitHub Actions: защита веток, CODEOWNERS, разрешения рабочих процессов, секреты и риски сторонних действий.

• Опыт управления уязвимостями и установкой исправлений как постоянной программой — включая непривлекательную часть, заключающуюся в том, чтобы другие команды фактически выпускали исправления.

• Опыт управления сторонними тестами на проникновение изнутри: хорошее определение объема работ и преобразование отчета в закрытые инженерные задачи, а не в PDF в папке.

• Практическое участие как минимум в одном формальном аудите — ISO 27001, PCI DSS или SOC 2 — в качестве инженера, производящего и защищающего доказательства, а не только как читателя отчета.

• Комфортное использование инструментов ИИ для написания кода и агентских инструментов в повседневной работе, а также четкое понимание их рисков: внедрение промптов, утечка секретов и уязвимости цепочки поставок.

• Прагматизм. Средства контроля, которые блокируют выпуск продукта без соразмерного снижения риска, обходятся, и мы предпочитаем, чтобы вы называли компромисс, а не делали вид, что его нет.

ПРЕИМУЩЕСТВА

• Опыт работы с дата-центрами или колокацией: сегментация сети, внеполосное управление (IPMI/BMC), физические средства контроля и средства контроля поставщиков.

• Опыт в разработке систем обнаружения или управлении SIEM/HIDS в масштабе (например, Wazuh, OSSEC, Elastic).

• Управление секретами с помощью HashiCorp Vault.

• Безопасность AWS (IAM, SCPs, VPC) и Terraform.

• Безопасность Kubernetes.

• Опыт в области офенсивной безопасности: тестирование на проникновение или red teaming.

• Работа с PCI DSS в среде, обрабатывающей данные держателей карт.

• Ответственность за программу безопасного SDLC.

• Опыт работы с GPU-инфраструктурой, ML-платформами или многопользовательскими рабочими нагрузками инференса.

• Сертификаты, такие как OSCP, GIAC, CISSP или AWS Security Specialty.

Уведомление: Мы осведомлены о случаях выдачи себя за рекрутеров Deepgram. Вся легитимная коммуникация от рекрутеров Deepgram осуществляется с адреса электронной почты @deepgram.com. Если вы получили сообщение, якобы от Deepgram, пожалуйста, перешлите его на контакт рекрутера.