Staff Application Security Engineer

Должность: Инженер по безопасности приложений (Staff Application Security Engineer) Местоположение: США / Удаленно, США

Вознаграждение (Диапазон оплаты Уровень 1 (Сан-Франциско, Нью-Йорк, Сиэтл)): 259 200 – 324 100 долларов США в год Вознаграждение (Диапазон оплаты Уровень 2 (Все остальные локации в США)): 225 400 – 281 800 долларов США в год

Apollo.io — ведущее решение для команд по развитию бизнеса, которому доверяют более 500 000 компаний и миллионы пользователей по всему миру, от быстрорастущих стартапов до крупнейших мировых предприятий. Основанная в 2015 году, компания является одной из самых быстрорастущих компаний в сфере SaaS, привлекшей около 250 миллионов долларов на сегодняшний день и оцененной в 1,6 миллиарда долларов. Apollo.io предоставляет командам продаж и маркетинга легкий доступ к проверенным контактным данным более чем 210 миллионов B2B-контактов и 35 миллионов компаний по всему миру, а также инструменты для взаимодействия с этими контактами и их конвертации на единой платформе. Помогая специалистам по развитию бизнеса находить наиболее точную контактную информацию и автоматизируя процесс исходящих обращений, Apollo.io превращает потенциальных клиентов в покупателей. В 2023 году Apollo привлекла раунд D и поддерживается ведущими инвесторами, включая Sequoia Capital, Bain Capital Ventures и других, а в совет директоров входит бывший президент и главный операционный директор Hubspot JD Sherman.

Обзор роли

Инженер по безопасности приложений (Staff Application Security Engineer) руководит стратегией безопасности приложений в департаменте безопасности Apollo и реализует ее посредством практической работы и технического лидерства. Эта роль берет на себя самые сложные задачи AppSec в области продуктов, платформ и функций на основе ИИ, включая проблемы, для которых нет установленного регламента.

Роль формирует дорожные карты команд Engineering, Product и Platform, чтобы безопасные паттерны стали стандартом, и устанавливает стандарты AppSec, которые помогают многим командам безопасно разрабатывать продукты, не полагаясь на какого-либо одного человека.

Основные обязанности

Стратегия, стандарты и влияние AppSec

• Руководить многолетней стратегией AppSec Apollo и преобразовывать ее в многоквартальные, межкомандные инициативы, которые достигают ключевых показателей эффективности (KR) департамента безопасности. Регулярно сообщать о прогрессе, рисках и компромиссах руководству отдела безопасности.
• Формировать дорожные карты команд Engineering, Product, Platform и Data, чтобы работа по обеспечению безопасности планировалась на ранних этапах, и представлять AppSec на межотраслевых совещаниях.
• Устанавливать стандарты безопасного проектирования, проверки кода и моделирования рисков, используемые во всем департаменте и смежных инженерных командах, включая требования к коду, сгенерированному с помощью ИИ и агентов.
• Наставничать старших инженеров и чемпионов по безопасности, развивать программу чемпионов и помогать повышать планку найма, чтобы программа AppSec не зависела от опыта одного человека.

Безопасная архитектура и глубина уязвимостей

• Руководить обзорами архитектуры безопасности и моделированием угроз для неоднозначных, высокомасштабных, многокомандных систем, включая функции ИИ и агентов, и определять подход там, где нет прецедентов.
• Разрабатывать и внедрять стандартные безопасные строительные блоки, такие как общие механизмы авторизации, безопасная обработка OAuth и токенов, а также HTTP-клиенты, безопасные от SSRF, чтобы исключить целые классы проблем.
• Формировать управление уязвимостями, включая внутренние обзоры, баунти-программы, пентесты, а также результаты SCA и анализа в реальном времени, уделяя особое внимание корневым причинам, классам ошибок и четкому принятию решений об уровне критичности на основе рисков.
• Оставаться вовлеченным в решение самых сложных случаев: читать код в разных командах, разрабатывать эксплойты, тестировать обходы, руководить анализом вариантов и поэтапным устранением уязвимостей в разных командах.

Инструментарий, автоматизация и ИИ (по умолчанию AI-native)

• Установить стандарт для AppSec, усиленного ИИ, в департаменте. Использовать ИИ и агентов для проверки кода, моделирования угроз, триажа и устранения уязвимостей, а также создавать автоматизацию, которую используют команды за пределами отдела безопасности, с измеренным повышением скорости, охвата и качества сигналов.
• Определить, как Apollo обеспечивает безопасность своих систем ИИ и функций агентов, включая обработку входных и выходных данных, API, подверженные воздействию ИИ, защиту промптов и ответов, разрешения инструментов и пути утечки данных.

Что хорошо выглядит (черновик из разделов миссии и успеха)

• Отвечает за стратегию AppSec на многолетнюю перспективу и обеспечивает ее включение в дорожные карты других команд.
• Решает неоднозначные проблемы, не имеющие готовых решений, и определяет подход для других.
• Принимает сложные решения о рисках в условиях неопределенности и согласовывает действия технических и нетехнических лидеров без формальной власти.
• Создает механизмы контроля, стандарты и развивает людей, чтобы AppSec масштабировалась за пределы возможностей одного человека.

Требуемые навыки и опыт

• Опыт руководства стратегией AppSec, которая изменила подход к разработке в нескольких инженерных командах, с измеримыми результатами, обычно подтвержденный 10+ годами опыта в разработке программного обеспечения или обеспечении безопасности приложений.
• Экспертные навыки в области проверки кода, тестирования на проникновение и разработки эксплойтов, с возможностью выявлять недостатки в дизайне незнакомых кодовых баз и внедрять исправления, которые выдерживают попытки обхода.
• Сильные навыки разработки программного обеспечения и способность выпускать код для продакшена. Опыт работы с Ruby и Ruby on Rails очень ценен, а Python — плюс. Глубокие знания Linux и основ облачных технологий, в идеале GCP и Kubernetes.
• Глубокий опыт в области безопасной архитектуры, а также шаблонов аутентификации и авторизации, и в создании строительных блоков безопасности, которые принимаются другими командами.
• Практический опыт обеспечения безопасности систем на базе ИИ или функций агентов, а также четкое понимание того, как ИИ меняет безопасность приложений.
• Способность принимать сложные решения о рисках в условиях неопределенности и влиять на технических и нетехнических лидеров без формальной власти.

Предпочтительные квалификации

• Опыт руководства безопасностью продуктов AI-native, внутренних агентов или рабочих процессов разработки с использованием ИИ в масштабе.
• Опыт создания или масштабирования программы чемпионов по безопасности или повышения квалификации разработчиков.
• Публичные достижения в области безопасности, такие как CVE, исследования, выступления или инструменты с открытым исходным кодом, или сертификаты, такие как OSCP или OSWE.

Пример результатов успеха

• Стратегия AppSec, привязанная к ключевым показателям эффективности департамента безопасности, с поддерживающими работами, включенными в дорожные карты других команд.
• Измеримое снижение классов высокорисковых уязвимостей, подкрепленное общими механизмами контроля или библиотеками.
• Рабочие процессы AppSec с поддержкой ИИ, принятые командами за пределами отдела безопасности, с очевидным повышением скорости или качества сигналов.

Наш технологический стек

React на фронтенде; Ruby, Ruby on Rails, Python, MongoDB и Elasticsearch на бэкенде; Kubernetes, Docker и Terraform в инфраструктуре; GCP для облака.

Указанный диапазон оплаты отражает общую денежную компенсацию, включая годовой базовый оклад и годовой бонус, если применимо. Для ролей в сфере продаж указанный диапазон представляет собой диапазон «Целевого заработка» (OTE) для данной должности, что означает, что диапазон включает в себя как комиссионные/бонусы по продажам, так и годовой базовый оклад для данной должности. Этот диапазон заработной платы может включать несколько карьерных уровней в Apollo и будет сужен в процессе собеседования на основе ряда факторов, включая опыт кандидата, квалификацию и местоположение. Кандидаты, заинтересованные в этой должности, которые не находятся в США, могут запросить годовой диапазон заработной платы для своей локации в процессе собеседования.

Дополнительные преимущества для этой роли могут включать: акции; бонус компании или комиссионные/бонусы по продажам; план 401(k); не менее 10 оплачиваемых праздников в год, гибкий PTO и отпуск по уходу за ребенком; программа поддержки сотрудников и льготы по обеспечению благосостояния; покрытие расходов на международные поездки; страхование жизни/AD&D/STD/LTD; льготы FSA/HSA и медицинские, стоматологические и офтальмологические услуги.

Диапазон оплаты Уровень 1 (Сан-Франциско, Нью-Йорк, Сиэтл)

259 200 – 324 100 долларов США

Диапазон оплаты Уровень 2 (Все остальные локации в США)

225 400 – 281 800 долларов США

Мы AI Native

Apollo.io — это AI-native компания, построенная на культуре постоянного совершенствования. Мы находимся на переднем крае повышения производительности для наших клиентов — и ожидаем такого же мышления от нашей команды. Если вы воодушевлены поиском более умных и быстрых способов выполнения задач с использованием ИИ и автоматизации, вы преуспеете здесь.

Почему вам понравится работать в Apollo

В Apollo мы движимы общей миссией: помочь нашим клиентам раскрыть весь их потенциал доходов. Именно поэтому мы берем на себя исключительную ответственность за нашу работу, действуем сфокусированно и срочно, и неустанно учимся, чтобы оставаться впереди.

Мы глубоко инвестируем в ваше развитие, гарантируя, что у вас есть ресурсы, поддержка и автономия, чтобы выполнять свою роль и оказывать реальное влияние. Сотрудничество лежит в основе всего — мы действуем по принципу «один за всех», что означает, что у вас будет команда из разных отделов, готовая помочь вам добиться успеха. Мы поощряем смелые идеи и решительные действия, предоставляя вам свободу экспериментировать, идти на разумные риски и добиваться крупных побед.

Если вы ищете место, где ваша работа имеет значение, где вы можете раздвигать границы, и где ваша карьера может процветать — Apollo — это то, что вам нужно.