Security Engineer

Должность: Инженер по безопасности Местоположение: Берлингейм, Калифорния / удаленно

Вознаграждение: 170 000 – 200 000 долларов США в год ПЕРЕОСМЫСЛЕНИЕ ПРОИЗВОДСТВА

Единственный способ вызвать изменения — создать лучшую команду. В Bright Machines мы — новаторы и эксперты в своем деле, которые объединились для производства инфраструктуры ИИ и центров обработки данных на периферии. Мы верим, что объединение программного обеспечения, интеллектуальной автоматизации и данных — это ответ на обеспечение качества и гибкости в масштабе. Мы поставляем продукты для удовлетворения сегодняшних потребностей, одновременно постоянно инвестируя в нашу модель Bright Factory, чтобы использовать будущие возможности. Работа с нами даст вам возможность внести долгосрочные, значимые изменения в нашу компанию и для наших клиентов. Если вы готовы применить свои исключительные навыки для более яркого пути производства инфраструктуры ИИ, мы будем рады с вами пообщаться.

О РОЛИ

В составе IT-отдела вы будете выполнять и обеспечивать соблюдение повседневной программы информационной безопасности Bright Machines — охватывающей безопасность платформ, безопасность приложений и соответствие требованиям информационной безопасности — в наших корпоративных, продуктовых и производственных средах. Глобальный директор по ИТ, которому подчиняется эта должность, устанавливает политику и стратегию безопасности; вы будете сотрудничать с директором по этой стратегии, руководя ее практической реализацией, а также тесно сотрудничать с нашим инженером по инфраструктуре, который отвечает за выполнение требований по сетевой безопасности, и с Platform Engineering, нашим ближайшим партнером по безопасности приложений. Вы будете отвечать за повседневное поддержание нашей существующей сертификации ISO 27001:2022 и выполнение требований безопасности клиентов, от которых зависят наши коммерческие отношения. Поскольку вы будете ежедневно работать с IT, Platform Engineering, разработкой программного обеспечения и Delivery, необходимо владение письменным и устным английским языком.

ЧТО ВЫ БУДЕТЕ ДЕЛАТЬ

• Выполнять повседневные операции по обеспечению информационной безопасности в корпоративных IT, на платформах и в продуктовых средах в партнерстве с Глобальным директором по ИТ, который устанавливает политику и стратегию безопасности.
• Поддерживать нашу существующую сертификацию ISO 27001:2022: управлять сбором доказательств, внутренними аудитами и корректирующими действиями, а также поддерживать ежегодные аудиты надзора и повторной сертификации.
• Выполнять комплексную проверку безопасности клиентов, заполняя анкеты по безопасности (SIG, CAIQ), поддерживая аудиты клиентов и отслеживая договорные требования к безопасности, при необходимости в партнерстве с юридическим отделом и отделом продаж.
• Сотрудничать с Platform Engineering для интеграции безопасности приложений в SDLC: поддержка моделирования угроз, рекомендации по проверке безопасного кода и эксплуатация инструментов SAST/DAST/SCA.
• Управлять уязвимостями в приложениях и инфраструктуре платформ: сканирование, триаж и устранение уязвимостей совместно с командами разработчиков в соответствии с SLA.
• Координировать сторонние тесты на проникновение и оценки безопасности; отслеживать результаты до их закрытия.
• Сотрудничать с инженером по инфраструктуре по вопросам безопасности сетевой и вычислительной инфраструктуры, включая наши EDR/управляемые SOC и сетевые IDS/IPS, обеспечивая соответствие прикладных и платформенных средств управления архитектуре сетевой безопасности.
• Поддерживать реагирование на инциденты безопасности: помогать в поддержании плана реагирования на инциденты, участвовать в расследованиях и проводить периодические учения (tabletop exercises).
• Поддерживать управление идентификацией и доступом для корпоративных систем и систем платформ (обзоры доступа, сертификации, принудительное использование MFA/SSO) совместно с IT Engineering.
• Проводить оценки рисков безопасности для новых поставщиков, инструментов и сторонних интеграций.
• Поддерживать политики и стандарты информационной безопасности, а также обучение сотрудников по осведомленности о безопасности (включая фишинговые симуляции) в соответствии с указаниями Глобального директора по ИТ.
• Отслеживать и сообщать о состоянии безопасности, рисках и соответствии требованиям Глобальному директору по ИТ.
• Помогать в оценке и подготовке к будущим инициативам по соответствию (например, SOC 2 Type II) по мере приоритизации руководством.

ЧТО МЫ ХОТИМ ВИДЕТЬ

• Более 5 лет опыта работы в области безопасности приложений, IT-безопасности, безопасности приложений или смежной области.
• Опыт поддержания существующей ISMS ISO 27001: сбор доказательств, внутренние аудиты и поддержка аудитов надзора/повторной сертификации. (Создание ISMS с нуля не требуется; у нас уже есть сертификат.)
• Рабочее знание основ безопасности приложений (OWASP Top 10, практики безопасного SDLC) с практическим опытом использования инструментов SAST/DAST/SCA (например, Snyk, Semgrep, Checkmarx, Burp Suite).
• Опыт работы со скриптовыми языками (например, Python) для автоматизации безопасности с сильным уклоном в инфраструктуру как код (например, Terraform, Ansible) для кодификации и обеспечения соблюдения мер безопасности.
• Знакомство с платформами GRC для сбора доказательств соответствия и мониторинга.
• Базовая грамотность в области облачной безопасности (AWS, Azure и/или GCP): IAM, группы безопасности сети, шифрование, ведение журналов и мониторинг.
• Умение заполнять анкеты по безопасности клиентов и поддерживать обсуждения по безопасности с клиентами под руководством.
• Знакомство с платформами EDR/управляемых SOC и комфорт при участии в операциях по безопасности и рабочих процессах обнаружения/реагирования.
• Отличное владение письменным и устным английским языком, способность четко общаться с заинтересованными сторонами из IT, Platform Engineering, Software Development и Delivery.
• Уверенность в роли исполнительного специалиста по безопасности в небольшой IT-организации, тесно сотрудничающего с Глобальным директором по ИТ, инженером по инфраструктуре, Platform Engineering и штатными IT-инженерами, а не работающего в изоляции.

БУДЕТ ПЛЮСОМ, ЕСЛИ У ВАС ЕСТЬ

• Сертификаты по безопасности, такие как Security+, GSEC или CCSP.
• Опыт работы в производственной, промышленной, IoT или OT/ICS среде безопасности.
• Опыт участия в тестировании на проникновение, как практический, так и координационный с внешними тестировщиками.
• Знакомство с принципами архитектуры Zero Trust.
• Владение английским языком.

БУДЬТЕ ВОЗМОЖНОСТЬЮ ИЗМЕНИТЬ ОТРАСЛЬ

Bright Machines — это производитель следующего поколения с поддержкой ИИ, специализирующийся на производстве инфраструктуры для центров обработки данных. Bright Machines использует свою запатентованную робототехнику и программное обеспечение на основе ИИ для сборки аппаратных продуктов инфраструктуры ИИ (т.е. серверов для центров обработки данных) для гиперскейлеров, неооблачных компаний и ведущих производителей оригинального оборудования (OEM), чтобы сократить время до получения дохода. Благодаря своей модели Bright Factory, Bright Machines производит более качественную инфраструктуру для центров обработки данных в масштабе, удовлетворяет растущие рыночные потребности в вычислительных мощностях из-за всплеска ИИ и отвечает на призыв к национальному мандату США по возвращению производства на родину.

Штаб-квартира Bright Machines находится в районе залива Сан-Франциско, Калифорния, а центр интеграции — в Гвадалахаре, Мексика. Компания была отмечена Forbes как одна из AI 50, получила награду «Лучшее решение на основе ИИ для производства» от AI Breakthrough, названа «Технологическим пионером» Всемирным экономическим форумом и отмечена несколькими другими ведущими технологическими и инновационными организациями.