Senior DevSecOps Engineer

Название: Старший инженер DevSecOps Компания: Justworks Местоположение: Нью-Йорк, Нью-Йорк / Нью-Йорк, Нью-Йорк

О нас

В Justworks вас ждет дружелюбная и непринужденная атмосфера, отличные льготы, программы оздоровления, корпоративные выезды и возможность общаться и учиться у лидеров стартап-сообщества. Мы много работаем и заботимся о нашем самом ценном активе — наших людях.

Мы помогаем бизнесу стартовать, позволяя ему сосредоточиться на своей деятельности. Мы решаем HR-вопросы. Мы полагаемся на данные и постоянно совершенствуемся. Если вы хотите работать в поддерживающей, предпринимательской среде, заинтересованы в создании чего-то значимого и при этом получать удовольствие, мы будем рады услышать вас.

Нас объединяют общие цели и общие мотивы в Justworks. Лучше всего они суммируются в наших корпоративных ценностях, которые отражены в нашем продукте и в нашей команде.

Наши ценности

Если это о вас, вы отлично впишетесь.

Отдел

Engineering > Platform

Вы — это мы

Вы верите, что безопасный путь должен быть простым. Вы провели свою карьеру на стыке безопасности и инженерии и узнали, что сканеры, которые никто не читает, и шлюзы, которые никто не может пройти, не делают программное обеспечение безопаснее, они заставляют инженеров обходить вас стороной. Поэтому вы создаете направляющие: конвейеры, которые выявляют уязвимости до того, как их заметит человек, «золотые пути» с встроенной безопасностью и автоматизацию, которая превращает вопрос «обновили ли мы это?» из совещания в панель мониторинга.

Вы чувствуете себя комфортно в CI/CD конвейере, аккаунте AWS и кластере Kubernetes. Вы можете достаточно хорошо читать код приложения, чтобы отличить реальный риск инъекции от шума сканера, и вы предпочтете исправить шаблон, который вызвал ошибку, а не подавать 40 заявок на нее.

Это основополагающая роль. Вы будете одним из первых выделенных инженеров DevSecOps в платформенной организации, поддерживающей более 300 инженеров, работая вместе с нашими командами Developer Experience и SRE и тесно сотрудничая с организацией по безопасности. Вы будете формировать, как здесь создается безопасное программное обеспечение, а не просто проверять его постфактум — включая то, как мы используем ИИ для поиска и исправления уязвимостей до их попадания в производство.

Безопасность в первую очередь отвечает за обнаружение, приоритизацию и отчетность о состоянии рисков; инженерия в первую очередь отвечает за их устранение. Эта роль находится на стыке — сотрудничая с Digital Security по охвату и управляя исправлениями через Engineering.

Эта роль подчиняется Platform Engineering, но имеет косвенную подчиненность руководству Digital Security.

Ваш профиль успеха

Над чем вы будете работать

• Обеспечение автоматизации безопасности во всех наших CI/CD конвейерах (GitHub Actions): SAST, SCA, обнаружение секретов и сканирование контейнеров, которое работает быстро и помечает вещи, стоящие исправления.
• Встраивание безопасности в наши шаблоны «золотого пути» для сервисов Go, Rails и Vue.js, чтобы новые сервисы изначально были безопасными.
• Укрепление нашей цепочки поставок программного обеспечения: управление зависимостями, подписание артефактов, генерация SBOM и обеспечение происхождения того, что мы отправляем.
• Внедрение и настройка сканирования инфраструктуры как кода (Terraform) и принудительного применения политик Kubernetes, выявление неправильных конфигураций до их попадания в среду.
• Координация устранения уязвимостей во всей инженерии, включая уязвимости кода, изменения конфигурации инфраструктуры и исправления.
• Создание автоматизации управления уязвимостями, которая направляет находки командам-владельцам с контекстом, дедуплицирует шум и отслеживает устранение без электронных таблиц.
• Обеспечение реализации шаблонов и инструментов управления секретами, а также устранение долгосрочных учетных данных в пользу краткосрочных, федеративных идентификационных данных.
• Сотрудничество с командой безопасности по состоянию безопасности облака в наших средах AWS и обеспечение того, чтобы телеметрия платформы предоставляла Detection & Response необходимые данные.
• Поддержка внедрения Agentic Penetration Testing командой Security и создание авто-исправлений, которые превратят находки уязвимостей в исправления до их эксплуатации.
• Исследование и внедрение автоматизированного анализа изменений кода с помощью ИИ, с направляющими, которые сохраняют высокий уровень сигнала и низкое количество ложных срабатываний.
• Стимулирование принятия путем документирования и обучения разработчиков, потому что контроль, который никто не понимает, — это контроль, которому никто не следует.
• Измерение важного: время до устранения, охват сканирования, находки секретов и среднее время до исправления, чтобы мы могли видеть, действительно ли мы становимся безопаснее.
• Выступать в качестве защитника практик безопасной разработки, определяя, как проектируется безопасное программное обеспечение.

Как вы будете выполнять свою работу

Как старший инженер DevSecOps, то, как достигаются результаты, имеет первостепенное значение для вашего успеха и, в конечном итоге, для успеха нашей организации. В этой роли ваши фундаментальные знания, навыки, способности и личные качества основаны на следующих компетенциях:

Хорошее суждение — применение критического мышления, анализ и оценка проблем и их последствий, выявление закономерностей, установление связей между лежащими в основе проблемами, понимание рисков и разработка стратегий смягчения последствий, а также принятие ответственности за результат. Находчивость — применение подхода «могу сделать», даже перед лицом препятствий и ограничений, путем оценки того, что находится перед вами, и эффективной и результативной оптимизации того, что у вас есть, будь то работа над чем-то новым или размышления о том, как сделать что-то лучше. Командная работа и общение — объединение наших коллективных лучших качеств через документирование, сотрудничество, построение отношений, слушание, эмпатию, рекрутинг и евангелизацию. Влияние и лидерство — развитие сообщества обмена знаниями, сотрудничества, наставничества и дальновидного мышления. Навыки и знания — способность активно учиться и применять конкретные знания в предметной области, ноу-хау и передовые практики для постоянного улучшения.

Кроме того, все сотрудники Justworks сосредоточены на согласовании своего поведения с нашими основными ценностями, известными как COGIS. Это означает:

• Camaraderie (Товарищество) — Ежедневно вы можете быть замечены за совместной работой над достижением высшей цели. Вам нравится веселиться. Вы активно слушаете, с уважением относитесь к людям и стремитесь знать и помогать другим.
• Openness (Открытость) — Ваша установка по умолчанию — быть открытым. Вы готовы делиться информацией, понимать другие точки зрения и рассматривать новые возможности. Вы любознательны, задаете открытые вопросы и восприимчивы к мыслям и отзывам других.
• Grit (Упорство) — Вы проявляете упорство, имея смелость брать на себя обязательства и упорно добиваться цели. Вы целеустремленны, серьезны и вникаете в суть, чтобы выполнить работу хорошо с позитивным настроем.
• Integrity (Добросовестность) — Проще говоря, делайте то, что говорите, и говорите то, что собираетесь делать. Вы честны и откровенны, обладаете сильным моральным компасом и стремитесь сопоставлять свои слова с действиями, подавая пример.
• Simplicity (Простота) — Будьте как Эйнштейн: «Все должно быть максимально простым, но не проще».

Квалификация

• Более 5 лет профессионального опыта в разработке программного обеспечения, инфраструктуре или инженерии безопасности
• Более 3 лет опыта работы в области безопасности приложений, автоматизации безопасности или практики DevSecOps
• Практический опыт интеграции инструментов безопасности в CI/CD конвейеры (предпочтительно GitHub Actions): SAST, SCA, обнаружение секретов, сканирование контейнеров
• Опыт работы с AWS и его службами безопасности (IAM, GuardDuty, Security Hub, CloudTrail); вы понимаете облачную идентификацию достаточно хорошо, чтобы проектировать минимальные привилегии доступа, а не просто аудировать их
• Опыт работы с Kubernetes и инфраструктурой как кодом (предпочтительно Terraform), включая принудительное применение политик как кода
• Владение как минимум одним языком программирования (предпочтительно Go, Python или Ruby); вы создаете инструменты, а не просто настраиваете их
• Подтвержденная способность снижать трения в безопасности для инженеров, с примерами элементов управления, которые команды охотно приняли
• Отличные письменные коммуникативные навыки; вы документируете по мере создания

Базовый диапазон заработной платы для этой должности в нашем офисе в Нью-Йорке составляет от 188 000,00 до 242 000,00 долларов США в год.

Фактическая компенсация основана на множестве факторов, уникальных для каждого кандидата, включая, но не ограничиваясь, набор навыков, уровень релевантного опыта и конкретное место работы. Диапазоны заработной платы для должностей в других местах могут отличаться в зависимости от стоимости рабочей силы в этом месте.

Для получения дополнительной информации о Философии совокупного вознаграждения Justworks, включая все преимущества и льготы, которыми мы гордимся, предлагая нашим членам команды, посетите Total Rewards @ Justworks.

Разнообразие в Justworks

Justworks стремится поддерживать рабочее место, где разнообразие идентичности, культуры и жизненного опыта является нормой, искренне отмечается и последовательно уважается. Разнообразие в нашей работе, наших людях и нашем продукте способствует творчеству и инновациям, предпринимательскому лидерству и добросовестности, конкурентоспособности и сотрудничеству во всем нашем бизнесе и на рынке. Мы полагаемся на наши различия, чтобы сделать нашу команду сильнее, наше рабочее место более динамичным, а наш продукт доступным для всех наших клиентов.

Мы с гордостью являемся работодателем с равными возможностями, открытым для всех квалифицированных кандидатов независимо от расы, цвета кожи, происхождения, религии, пола, национального происхождения, сексуальной ориентации, возраста, гражданства, семейного положения, инвалидности, беременности, гендерной идентичности или выражения, статуса ветерана, генетической информации или любого другого юридически защищенного статуса. Justworks полностью привержена предоставлению необходимой поддержки кандидатам с ограниченными возможностями, которым могут потребоваться разумные приспособления. Мы также предоставляем разумные приспособления сотрудникам на основании их искренних религиозных убеждений, а также по другим охватываемым причинам в соответствии с применимыми федеральными, государственными и местными законами. Если вам требуется разумное приспособление, пожалуйста, свяжитесь с нами по адресу контакт рекрутера. Ваш комфорт и успех важны для нас, и мы здесь, чтобы обеспечить инклюзивный опыт.

Наш отчет DEIB