Детали

Грейд

Lead

Опыт работы

от 8 лет

Формат работы

Удалённо

Уровень английского

B2, выше среднего

О вакансии

Black Duck Software, Inc. помогает организациям создавать безопасное, высококачественное программное обеспечение, минимизируя риски при одновременном повышении скорости и производительности. Black Duck, признанный пионер в области безопасности приложений, предоставляет решения SAST, SCA и DAST, которые позволяют командам быстро находить и устранять уязвимости и дефекты в проприетарном коде, компонентах с открытым исходным кодом и поведении приложений. Благодаря сочетанию ведущих в отрасли инструментов, услуг и экспертных знаний, только Black Duck помогает организациям максимизировать безопасность и качество в DevSecOps и на протяжении всего жизненного цикла разработки программного обеспечения.

Ведущий специалист по безопасности продуктов

Должность: Ведущий специалист по безопасности продуктов
Подчиняется (прямая должность): Директор отдела операций по безопасности
Отдел: Кибербезопасность

Краткое описание должности

Ведущий специалист по безопасности продуктов является старшим техническим авторитетом по вопросам проектирования безопасности продуктов Black Duck. Работая с широкой автономией под общим руководством, роль будет руководить обзорами безопасной архитектуры и проектирования, вносить вклад в методологию моделирования угроз, а также устанавливать стандарты и контрольные точки проектирования, которые определяют, что означает «безопасность по умолчанию» для наших инженерных команд. Основная часть работы заключается в масштабировании возможностей безопасности, а не в поглощении работы по обеспечению безопасности: эта роль будет способствовать развитию программы Security Champions, наставничеству инженеров и менее опытных сотрудников службы безопасности, а также созданию обучающих материалов, которые позволят командам разработчиков самостоятельно анализировать вопросы безопасности. Ведущий специалист по безопасности продуктов также будет проводить глубокий анализ безопасного кода в зонах высокого риска, оказывать поддержку при внешних оценках безопасности, сотрудничать с PSIRT в реагировании на уязвимости продуктов, а также измерять уровень безопасности продуктов для определения приоритетов дорожной карты улучшений.

Задачи

Руководство обзорами безопасной архитектуры и проектирования для Black Duck SCA, Coverity и смежных продуктовых линеек, предоставление действенных отзывов перед началом реализации
Внесение вклада в методологию моделирования угроз и помощь в масштабировании ее применения: обучение инженеров проведению собственных моделей и обзору результатов, вместо того чтобы быть единственным моделировщиком
Определение требований безопасности, контрольных точек проектирования и базовых уровней безопасности продуктов, которые дают инженерам проверяемое определение «безопасности по умолчанию»
Построение и измерение цикла безопасной разработки для SCA, SAST, сканирования секретов (GitGuardian), гигиены зависимостей и целостности конвейера сборки
Проведение глубокого анализа безопасного кода в зонах высокого риска, включая аутентификацию, авторизацию, криптографию, обработку секретов и проверку входных данных
Обеспечение безопасности цепочки поставок продуктов и процесса выпуска, включая генерацию SBOM и целостность артефактов сборки и распространения
Содействие развитию программы Security Champions: привлечение чемпионов из команд разработчиков, расширение учебной и обучающей программы, проведение консультаций, отчетность об участии и результатах
Наставничество инженеров и менее опытных сотрудников службы безопасности по вопросам безопасного проектирования, анализа безопасного кода и моделирования угроз, развивая возможности организации, а не поглощая работу
Помощь в определении масштаба и координации тестов на проникновение и сторонних оценок безопасности; оценка результатов и управление процессом устранения проблем с владельцами инженерных решений
Сотрудничество с PSIRT по вопросам оценки и координации исправления внутренне обнаруженных и внешне сообщенных уязвимостей продуктов, передача корневых причин обратно в проект и средства управления SDLC
Измерение уровня безопасности продуктов с использованием оценки в стиле BSIMM или SAMM и определение приоритетов дорожной карты улучшений
Поддержка соответствия требованиям EU Cyber Resilience Act по безопасному проектированию и обработке уязвимостей посредством технического подтверждения и изменений процессов, необходимых инженерам
Предоставление технической экспертизы по клиентским запросам безопасности, аудиторским запросам и эскалациям по вопросам безопасности, подготовка точных ответов, сбор доказательств от инженеров и создание пополняемой базы знаний проверенных ответов
Поддержка реагирования на инциденты, касающиеся кода продукта, систем сборки или инфраструктуры продукта, предоставление контекста, специфичного для продукта, и рекомендаций по устранению
Руководство отдельными рабочими группами в рамках более крупных инициатив по безопасности продуктов, отслеживание этапов в Jira и предоставление технической информации при оценке инструментов безопасности приложений и проведении POC
Другие задачи и виды деятельности по мере назначения

Требования

Осведомленность о рисках безопасности AI и LLM, таких как инъекции промптов, раскрытие конфиденциальных данных и OWASP Top 10 для LLM Applications
Степень бакалавра в области компьютерных наук, информационной безопасности, информационных технологий или эквивалентный практический опыт
Более 8 лет опыта в области безопасности продуктов, безопасности приложений или инженерии безопасности программного обеспечения, с практическим опытом в области обзора безопасного проектирования, моделирования угроз и анализа безопасного кода
Подтвержденный опыт создания или управления программой Security Champions, инициативой по обучению разработчиков или аналогичными усилиями, которые масштабировали возможности безопасности в командах разработчиков
Рабочее знание инструментов безопасности приложений (SCA, SAST, DAST, сканирование секретов), классов уязвимостей, которые они обнаруживают, и где каждый из них дает ложноположительные срабатывания
Практический опыт безопасного кодирования и анализа кода по крайней мере на одном языке, используемом в коммерческих программных продуктах, с возможностью читать незнакомый код и рассуждать о его влиянии на безопасность
Опыт определения требований безопасности, стандартов или контрольных точек проектирования, которые команды разработчиков фактически приняли
Знакомство по крайней мере с одной основной облачной платформой (AWS, Azure или GCP) с точки зрения безопасности продуктов, включая безопасность контейнеров и инфраструктуры как кода
Опыт координации тестов на проникновение или сторонних оценок безопасности и проведения работ по устранению выявленных проблем
Подтвержденная способность обучать инженеров и руководить техническими рабочими группами без формальных полномочий прямого подчинения
Практическое использование инструментов AI и LLM для ускорения повседневной работы по обеспечению безопасности (анализ безопасного кода, расследования, документирование) с разумной оценкой того, когда сгенерированный ИИ вывод требует проверки человеком перед тем, как он будет опубликован, отправлен или использован
Сильные навыки письменного и устного общения, включая способность объяснять технические вопросы безопасности инженерам, коллегам по безопасности и нетехническим заинтересованным сторонам
Опыт участия в работе Product Security Incident Response Team (PSIRT) или аналогичном процессе реагирования на уязвимости продуктов, включая оценку CVSS и скоординированное раскрытие информации, является плюсом

Физические требования

Общая офисная среда и обязанности, требующие:

Широкое использование компьютера, которое включает просмотр монитора и работу на клавиатуре в течение большей части рабочего дня
Прием и совершение телефонных звонков
Периодическое перемещение и подъем предметов весом до 20 фунтов
Возможно, потребуется некоторое количество командировок по мере необходимости

Будет плюсом

Знакомство с моделями зрелости безопасности продуктов (BSIMM, SAMM) или нормативными требованиями к безопасному проектированию, такими как EU Cyber Resilience Act, является плюсом
Отраслевые сертификаты, такие как CSSLP, CISSP, GWAPT, OSWE, или эквиваленты в области облачной безопасности, являются плюсом
Опыт поддержки клиентских опросников по безопасности, RFP или оценок сторонних рисков является плюсом

Условия

Компенсация (Диапазон оплаты): 117 000 – 150 000 канадских долларов в год

Диапазон оплаты

117 000 — 150 000 канадских долларов

Compensation (Pay Range): 117,000 – 150,000 CAD per year

Black Duck Software, Inc. helps organizations build secure, high-quality software, minimizing risks while maximizing speed and productivity. Black Duck, a recognized pioneer in application security, provides SAST, SCA, and DAST solutions that enable teams to quickly find and fix vulnerabilities and defects in proprietary code, open source components, and application behavior. With a combination of industry-leading tools, services, and expertise, only Black Duck helps organizations maximize security and quality in DevSecOps and throughout the software development life cycle.

Lead Product Security

Job Title: Lead Product Security
Reports to (Direct Title): Director of Security Operations
Department: Cybersecurity

Position Summary

The Lead Product Security is the senior technical authority for how security is designed into Black Duck products. Operating with broad autonomy under general guidance, the role will lead secure architecture and design reviews, contribute to the threat modeling methodology, and set the standards and design gates that define what secure-by-default means for our engineering teams. A core part of the role is scaling security capability rather than absorbing security work: the role will help mature and evolve the Security Champions program, mentor engineers and less experienced security staff, and build the enablement content that lets product teams reason about security themselves. The Lead Product Security will also drive deep secure code review in high-risk areas, support external security assessments, partner with PSIRT on product vulnerability response, and measure product security maturity to guide a prioritized improvement roadmap.

Essential Functions/Responsibilities

Lead security architecture and design reviews for Black Duck SCA, Coverity, and adjacent product lines, delivering actionable feedback before implementation begins.
Contribute to the threat modeling methodology and help scale its adoption: coach engineers to run their own models and review outputs, rather than serving as the sole modeler.
Define security requirements, design gates, and product security baselines that give engineering a testable definition of secure-by-default.
Build and measure the secure development lifecycle across SCA, SAST, secret scanning (GitGuardian), dependency hygiene, and build pipeline integrity.
Perform deep secure code review on high-risk areas including authentication, authorization, cryptography, secrets handling, and input validation.
Secure the product supply chain and release process, including SBOM generation and the integrity of build and distribution artifacts.
Help mature and evolve the Security Champions program: recruit champions across product teams, grow the training and enablement curriculum, run office hours, and report on participation and outcomes.
Mentor engineers and less experienced security staff on secure design, secure code review, and threat modeling, growing capability across the organization rather than absorbing the work.
Assist with the scoping and coordination of penetration tests and third-party security assessments; triage findings and drive remediation to closure with engineering owners.
Partner with PSIRT on triage and fix coordination for internally discovered and externally reported product vulnerabilities, feeding root causes back into design and SDLC controls.
Measure product security maturity using BSIMM or SAMM style assessment and drive a prioritized improvement roadmap.
Support EU Cyber Resilience Act secure-by-design and vulnerability handling obligations with the technical evidence and process changes engineering needs.
Provide technical subject matter expertise on customer security questionnaires, audit requests, and security escalations, drafting accurate answers, gathering evidence from engineering, and building a reusable knowledge base of vetted responses.
Support incident response for issues that touch product code, build systems, or product infrastructure, contributing product-specific context and remediation guidance.
Lead discrete workstreams within larger product security initiatives, track milestones in Jira, and provide technical input into application security tooling evaluations and POCs.
Other tasks and activities as assigned.

Required Education/Experience & Skills

Awareness of AI and LLM security risks such as prompt injection, sensitive data exposure, and the OWASP Top 10 for LLM Applications.
Bachelor’s degree in Computer Science, Information Security, Information Technology, or equivalent practical experience.
8+ years of experience in product security, application security, or software security engineering, with hands-on depth in secure design review, threat modeling, and secure code review.
Demonstrated experience building or running a security champions program, developer enablement initiative, or equivalent effort that scaled security capability across engineering teams.
Working knowledge of application security tooling (SCA, SAST, DAST, secret scanning), the vulnerability classes each detects, and where each produces false positives.
Practical secure coding and review experience in at least one language used in commercial software products, with the ability to read unfamiliar code and reason about security impact.
Experience defining security requirements, standards, or design gates that engineering teams actually adopted.
Familiarity with at least one major cloud platform (AWS, Azure, or GCP) from a product security perspective, including container and infrastructure-as-code security.
Experience coordinating penetration tests or third-party security assessments and driving findings through to remediation.
Demonstrated ability to mentor engineers and lead technical workstreams without formal direct-report authority.
Practical use of AI and LLM tools to accelerate day-to-day security work (secure code review, investigation, documentation), with sound judgment about when AI-generated output requires human validation before it is shared, shipped, or acted on.
Strong written and verbal communication skills, including the ability to explain technical security topics to engineers, security peers, and non-technical stakeholders.
Experience contributing to a Product Security Incident Response Team (PSIRT) or equivalent product vulnerability response process, including CVSS scoring and coordinated disclosure, is a plus.
Familiarity with product security maturity models (BSIMM, SAMM) or secure-by-design regulatory requirements such as the EU Cyber Resilience Act is a plus.
Industry certifications such as CSSLP, CISSP, GWAPT, OSWE, or cloud security equivalents are a plus.
Experience supporting customer security questionnaires, RFPs, or third-party risk assessments is a plus.

Physical Requirements

General office environment and responsibilities requiring:

Extensive use of the computer which involves viewing a monitor and keyboarding for most of the workday
Placing and receiving phone calls
Occasionally moving and lifting objects up to 20 pounds
May require some travel as needed

Pay Range

$117,000 — $150,000 CAD

Black Duck is an equal opportunity employer. We consider all applicants for employment without regard to race, color, national origin, religion, sex, gender identity or expression, age, disability, sexual orientation, veteran or military service status, or any other characteristic protected by applicable law. Black Duck complies with all applicable laws prohibiting employment discrimination in every jurisdiction where it operates and provides reasonable accommodations to individuals with disabilities in accordance with applicable law.

Ключевые навыки

Моделирование угроз
Security Code Review
Security Architecture
Application Security
SCA
SAST
DAST
Secrets Scanning
Software Bill of Materials
Security Champions
Пентест
PSIRT
CVSS
BSIMM
SAMM
AWS
Microsoft Azure
Google Cloud Platform
Container Security
Infrastructure as Code
Jira
OWASP Top 10 for LLM Applications
Prompt Injection

Оценка зарплаты

184 000CADв год

Чаще всего от 156 000 до 215 000

Compensation (Pay Range): 117,000 – 150,000 CAD per year

Lead Product Security

Job Title: Lead Product Security
Reports to (Direct Title): Director of Security Operations
Department: Cybersecurity

Position Summary

Essential Functions/Responsibilities

Lead security architecture and design reviews for Black Duck SCA, Coverity, and adjacent product lines, delivering actionable feedback before implementation begins.
Contribute to the threat modeling methodology and help scale its adoption: coach engineers to run their own models and review outputs, rather than serving as the sole modeler.
Define security requirements, design gates, and product security baselines that give engineering a testable definition of secure-by-default.
Build and measure the secure development lifecycle across SCA, SAST, secret scanning (GitGuardian), dependency hygiene, and build pipeline integrity.
Perform deep secure code review on high-risk areas including authentication, authorization, cryptography, secrets handling, and input validation.
Secure the product supply chain and release process, including SBOM generation and the integrity of build and distribution artifacts.
Help mature and evolve the Security Champions program: recruit champions across product teams, grow the training and enablement curriculum, run office hours, and report on participation and outcomes.
Mentor engineers and less experienced security staff on secure design, secure code review, and threat modeling, growing capability across the organization rather than absorbing the work.
Assist with the scoping and coordination of penetration tests and third-party security assessments; triage findings and drive remediation to closure with engineering owners.
Partner with PSIRT on triage and fix coordination for internally discovered and externally reported product vulnerabilities, feeding root causes back into design and SDLC controls.
Measure product security maturity using BSIMM or SAMM style assessment and drive a prioritized improvement roadmap.
Support EU Cyber Resilience Act secure-by-design and vulnerability handling obligations with the technical evidence and process changes engineering needs.
Provide technical subject matter expertise on customer security questionnaires, audit requests, and security escalations, drafting accurate answers, gathering evidence from engineering, and building a reusable knowledge base of vetted responses.
Support incident response for issues that touch product code, build systems, or product infrastructure, contributing product-specific context and remediation guidance.
Lead discrete workstreams within larger product security initiatives, track milestones in Jira, and provide technical input into application security tooling evaluations and POCs.
Other tasks and activities as assigned.

Required Education/Experience & Skills

Awareness of AI and LLM security risks such as prompt injection, sensitive data exposure, and the OWASP Top 10 for LLM Applications.
Bachelor’s degree in Computer Science, Information Security, Information Technology, or equivalent practical experience.
8+ years of experience in product security, application security, or software security engineering, with hands-on depth in secure design review, threat modeling, and secure code review.
Demonstrated experience building or running a security champions program, developer enablement initiative, or equivalent effort that scaled security capability across engineering teams.
Working knowledge of application security tooling (SCA, SAST, DAST, secret scanning), the vulnerability classes each detects, and where each produces false positives.
Practical secure coding and review experience in at least one language used in commercial software products, with the ability to read unfamiliar code and reason about security impact.
Experience defining security requirements, standards, or design gates that engineering teams actually adopted.
Familiarity with at least one major cloud platform (AWS, Azure, or GCP) from a product security perspective, including container and infrastructure-as-code security.
Experience coordinating penetration tests or third-party security assessments and driving findings through to remediation.
Demonstrated ability to mentor engineers and lead technical workstreams without formal direct-report authority.
Practical use of AI and LLM tools to accelerate day-to-day security work (secure code review, investigation, documentation), with sound judgment about when AI-generated output requires human validation before it is shared, shipped, or acted on.
Strong written and verbal communication skills, including the ability to explain technical security topics to engineers, security peers, and non-technical stakeholders.
Experience contributing to a Product Security Incident Response Team (PSIRT) or equivalent product vulnerability response process, including CVSS scoring and coordinated disclosure, is a plus.
Familiarity with product security maturity models (BSIMM, SAMM) or secure-by-design regulatory requirements such as the EU Cyber Resilience Act is a plus.
Industry certifications such as CSSLP, CISSP, GWAPT, OSWE, or cloud security equivalents are a plus.
Experience supporting customer security questionnaires, RFPs, or third-party risk assessments is a plus.

Physical Requirements

General office environment and responsibilities requiring:

Extensive use of the computer which involves viewing a monitor and keyboarding for most of the workday
Placing and receiving phone calls
Occasionally moving and lifting objects up to 20 pounds
May require some travel as needed

Pay Range

$117,000 — $150,000 CAD

Ключевые навыки

Моделирование угроз

Security Code Review

Security Architecture

Application Security

SCA

SAST

DAST

Secrets Scanning

Software Bill of Materials

Security Champions

Пентест

PSIRT

CVSS

BSIMM

SAMM

AWS

Microsoft Azure

Google Cloud Platform

Container Security

Infrastructure as Code

Jira

OWASP Top 10 for LLM Applications

Prompt Injection

Детали