Должность: Ведущий инженер по безопасности
Местоположение: Любой офис Made Tech в Великобритании (Бристоль / Лондон / Манчестер / Суонси) / гибридный формат
Made Tech помогает британским государственным и общественным организациям создавать лучшие цифровые сервисы, и безопасность играет центральную роль в этой миссии. В качестве ведущего инженера по безопасности в нашей команде по кибербезопасности вы будете самым авторитетным специалистом по безопасности в рамках клиентских проектов, определяя техническое направление того, как организации проектируют, создают и защищают безопасные системы. Вы будете работать над сложными государственными программами, где ставки высоки: сервисы, влияющие на граждан, системы, хранящие конфиденциальные данные, и команды, которым нужно быстро двигаться, не срезая углы.
Это не та роль, где вы сидите на краю процесса, просматривая результаты. Вы будете интегрированы в мультидисциплинарные команды, определяя, как безопасность встраивается в повседневную работу — от моделирования угроз и архитектуры на этапе проектирования до создания защищенных, контролируемых систем в продакшене. Вы будете строить доверительные отношения с ведущими инженерами клиентов, командными платформами и старшими заинтересованными сторонами, переводя сложные технические решения в компромиссы, которые должны понимать старшие руководители. Вы будете обладать суждением, чтобы знать, когда требуется комплексная архитектура безопасности, а когда более легкий и быстродействующий подход лучше подходит для проекта.
На уровне ведущего специалиста ваше влияние выходит за рамки непосредственной команды. Вы будете устанавливать стандарты инженерной безопасности и референсные архитектуры для всех проектов, развивать технические возможности окружающих вас людей — как коллег, так и инженеров клиентов — и способствовать развитию практики кибербезопасности Made Tech как сообщества. Если вы предпочитаете прокладывать проторенную дорогу, а не патрулировать бездорожье, если вы относитесь к безопасности как к инженерной дисциплине, а не как к задаче по обеспечению соответствия, и если вам небезразлично оставлять клиентские команды значительно более сильными, чем вы их нашли, эта роль для вас.
- Отвечать за комплексную техническую архитектуру безопасности в рамках проектов. Проектировать референсные архитектуры по принципу "безопасность по умолчанию", устанавливать шаблоны для управления идентификацией, сетью и защитой данных, а также поддерживать актуальные технические стандарты — напрямую влияя на то, как команды строят, а не только как их проверяют.
- Руководить устранением уязвимостей как инженерной программой. Определять структуру приоритизации — опираясь на EPSS, KEV, CVSS и критичность активов — устанавливать SLA по устранению уязвимостей, управлять реестром принятия рисков и напрямую вносить исправления в бэклог разработки вместе с продуктовыми командами. Предоставлять отчеты по KPI программы (MTTR по степени серьезности, возраст бэклога, охват, частота повторений) старшим заинтересованным сторонам.
- Интегрировать безопасность в обычный рабочий процесс команды. Встраивать моделирование угроз, анализ безопасного кода, SAST, SCA, политику зависимостей и сканирование контейнеров в циклы проектирования и разработки — создавать инструментарий и автоматизацию, которые делают это стандартом, а не передачей специалисту в конце спринта.
- Уверенно ориентироваться в стандартах безопасности правительства Великобритании — как инженер, а не как специалист по документации. Проектировать системы и средства контроля, соответствующие NCSC Cyber Assessment Framework, GovAssure, Cyber Essentials и HMG Security Policy Framework, применяя их пропорционально в рамках проектов в качестве ориентиров, обеспечивающих безопасную доставку, а не препятствий. Взаимодействовать с сообществами по безопасности правительства и координировать действия с техническими командами ведомств.
- Коммуницировать риски безопасности в терминах, способствующих принятию инженерных решений. Сообщать о состоянии системы, эффективности программы устранения уязвимостей и архитектурных рисках старшим заинтересованным сторонам клиентов — адаптируя формат для аудитории и структурируя отчеты вокруг решений, которые должен принять читатель, а не просто находимых данных.
- Устанавливать стандарты для реагирования на инциденты и проектирования систем обнаружения. Разрабатывать и продвигать использование инструментов для обнаружения, оповещения и реагирования на инциденты в рамках проектов, отвечать за обратную связь от реагирования на инциденты до управления уязвимостями, а также координировать межкомандные учения, включая учения по экстренному устранению уязвимостей.
- Развивать окружающих вас людей. Наставлять коллег в рамках практики и в организациях клиентов, работать в паре над сложными или незнакомыми инженерными проблемами и создавать структурированные возможности для развития — в том числе для инженеров клиентов, у которых, возможно, еще нет сильных привычек в области безопасности.
- Вносить вклад в практику кибербезопасности Made Tech за пределами непосредственной работы. Формировать стандарты практики, участвовать в найме и технической калибровке, развивать и делиться опытом на внешнем уровне, а также помогать развивать сообщество инженеров по безопасности, которое повышает квалификацию во всей организации.
Обязательные требования
- Глубокий практический опыт проектирования и создания масштабируемых облачных архитектур безопасности (AWS, Azure или GCP), включая IAM, сетевую сегментацию и шаблоны защиты данных.
- Подтвержденный опыт внедрения инструментов безопасности и автоматизации в конвейеры CI/CD и рабочие процессы инженерии в нескольких командах.
- Высокое владение как минимум одним языком программирования/скриптинга, используемым для создания инструментов безопасности производственного уровня (не просто скриптов).
Желательные квалификации
Следующие пункты усилят вашу заявку. Мы не ожидаем, что каждый кандидат будет обладать всеми ими.
Сертификаты
- OSCP, OSWE или эквивалентный сертификат по наступательной безопасности
- Сертификат специалиста по безопасности AWS/Azure/GCP
- CKS (Certified Kubernetes Security Specialist)
Компетенции и опыт
- Опыт создания и эксплуатации программ по устранению уязвимостей в масштабах организации — включая приоритизацию на основе рисков с использованием EPSS, KEV и критичности активов, а также устранение уязвимостей в нескольких командах разработки.
- Подтверждение опыта проектирования систем, соответствующих стандартам безопасности правительства Великобритании — GovAssure, CAF, Cyber Essentials, HMG Security Policy Framework — в сложной многопоставщиковой или многокомандной среде, в роли архитектора, а не аудитора.
- Опыт проведения или координации технического аудита безопасности и тестирования на проникновение в контексте государственного сектора Великобритании, включая устранение выявленных недостатков и проведение брифингов для старших технических заинтересованных сторон.
- Рабочее знание управления экспозицией, выходящего за рамки подходов, основанных только на CVE — включая неправильную конфигурацию, раскрытие учетных данных и анализ путей атаки с использованием облачных инструментов (AWS Inspector, GuardDuty, Security Hub или их эквивалентов).
- Опыт обеспечения безопасности цепочек поставок программного обеспечения — генерация SBOM, происхождение зависимостей, подписание артефактов — и интеграция этого в конвейеры сборки, а не в отдельный процесс обеспечения соответствия.
- Опыт создания или формирования компетенций в области инженерной безопасности в рамках консалтинговой деятельности, выполнения программ или работы с несколькими клиентами — включая развитие технических навыков у коллег и клиентских команд.
- Подтверждение опыта работы в качестве доверенного технического консультанта для старших заинтересованных сторон клиентов — обоснование рекомендаций с точки зрения инженерных результатов, конструктивное оспаривание задач и демонстрация ценности безопасности через поставляемый продукт.
- Опыт определения рабочих процессов команды в итеративных средах разработки — установление ретроспективных циклов, норм совместного решения проблем и практик парной работы, которые распространяют знания о безопасности по всей команде.
Инструменты и знакомство с практиками
- Глубокое знакомство со структурированными подходами к моделированию угроз — STRIDE, MITRE ATT&CK, деревья атак — и опыт их внедрения в гибкие процессы разработки.
- Опыт интеграции SAST, SCA, сканирования зависимостей и инструментов безопасности контейнеров в конвейеры CI/CD в рамках подхода "сдвиг влево" в области безопасности, включая создание пользовательских инструментов, когда готовые решения не подходят.
Made Tech спонсирует получение признанных сертификатов по кибербезопасности для сотрудников в соответствующих областях. Если вы еще не обладаете перечисленными сертификатами, но активно работаете над их получением или можете продемонстрировать эквивалентную квалификацию на основе своего опыта, мы все равно будем рады рассмотреть вашу заявку.
Мы всегда прислушиваемся к нашим растущим командам и развиваем доступные для наших сотрудников льготы. По мере нашего роста, растут и наши льготы, а мы растем быстро. Недавно мы внедрили гибкую платформу льгот, которая включает схему Smart Tech, схему "Велосипед на работу" и индивидуальный бюджет на льготы, который вы можете инвестировать в план медицинского страхования или пенсионный план. Мы также уделяем большое внимание налаживанию связей и предлагаем необязательный календарь социальных и оздоровительных мероприятий для всех сотрудников, в которых они могут участвовать по своему желанию.
Вот некоторые из наших самых популярных льгот, перечисленных ниже:
- 30 дней отпуска — мы предлагаем 30 дней оплачиваемого ежегодного отпуска
- Гибкие рабочие часы — мы гибки в отношении ваших рабочих часов
- Гибкий отпуск по уходу за ребенком — мы предлагаем гибкие варианты отпуска по уходу за ребенком
- Удаленная работа — мы предлагаем частичную удаленную работу для всех наших сотрудников
- Оплачиваемое консультирование — мы предлагаем оплачиваемое консультирование, а также финансовые и юридические консультации.
Надеемся, к этому моменту вы почувствовали энтузиазм по поводу Made Tech и предложенной вакансии. Свяжитесь с нашей командой по подбору персонала, если вы хотите неформально пообщаться о вакансии и вашей пригодности, прежде чем подавать заявку. Мы нанимаем на эту должность напрямую, поэтому не будем отвечать на резюме, отправленные через внешние рекрутинговые агентства.
Требования к допуску SC
Все большее число наших клиентов требуют минимальный уровень допуска SC (Security Check) для работы над их проектами. В связи с этим мы ожидаем, что все успешные кандидаты на эту должность будут иметь соответствующий допуск.
Для получения допуска SC требуется 5 лет проживания в Великобритании и 5 лет трудового стажа (или с момента окончания очного обучения). Обратите внимание, что если на любом этапе процесса собеседования станет очевидно, что вы не соответствуете требованиям для получения допуска SC, мы не сможем продолжить рассмотрение вашей заявки и свяжемся с вами, чтобы объяснить причину.
Поддержка при подаче заявки
Если вам требуется это описание вакансии в другом формате или другая поддержка при подаче заявки, пожалуйста, напишите на контакт рекрутера.
Мы верим, что можем использовать технологии для улучшения государственных услуг. Мы также верим, что это лучше всего может произойти, когда наша собственная команда представляет общество, которое на самом деле пользуется услугами, над которыми мы работаем. Мы коллективно продолжаем развивать культуру, которая является счастливой, здоровой, безопасной и вдохновляющей для людей всех происхождения и опыта, поэтому мы призываем людей из недостаточно представленных групп подавать заявки на вакансии у нас.
При подаче заявки мы свяжем вас с членом нашей команды по подбору персонала, который поможет с любыми потребностями или корректировками, которые нам может потребоваться внести для облегчения вашей заявки. Мы подготовили этот блог в качестве ресурса, чтобы поделиться более подробной информацией о разумных корректировках и привести примеры того, что это может включать. Мы также приветствуем любые отзывы о том, как мы можем улучшить этот опыт для будущих кандидатов.
Рабочее время: Наши стандартные часы работы — с понедельника по пятницу, но характер этой роли означает, что может потребоваться работа вне обычных часов, например, во время релизов и окон изменений, планового технического обслуживания или для согласования с рабочими часами клиента. Это происходит нерегулярно, а не постоянно, и мы всегда будем уведомлять вас заранее и, где это возможно, согласовывать с вами.
