Senior Manager, Application Security

Должность: Старший менеджер по безопасности приложений Компания: Fingerprint Местоположение: Удаленная работа

Fingerprint помогает предприятиям выявлять и пресекать онлайн-мошенничество с помощью самой точной в мире информации об устройствах. Мы лидируем в нашей отрасли благодаря передовым возможностям идентификации и работаем над воплощением новых идей и открытий в области борьбы с мошенничеством в реальность. Наши клиенты — от инновационных стартапов до ведущих корпоративных компаний, включая Plaid, Dropbox и Booking.com.

Fingerprint — это глобально распределенная, на 100% удаленная компания. Мы были включены в список Forbes Best Startup Employers 2026 года и заняли 803-е место в списке Inc. контакт рекрутера года самых быстрорастущих частных компаний Америки.

Мы привлекли $77 млн и поддерживаемся Craft Ventures (Tesla, Facebook, Airbnb), Nexus Venture Partners (Postman, Apollo.io, MinIO, Druva) и Uncorrelated Ventures (Redis, Rollbar, Gradle).

Поскольку Fingerprint масштабируется с крупными корпоративными клиентами в сфере финансовых услуг и предотвращения мошенничества, мы инвестируем в безопасность приложений как в отдельную, первоклассную дисциплину. Мы ищем Старшего менеджера по безопасности приложений, который возглавит эти инвестиции и будет подчиняться напрямую вице-президенту по инжинирингу. Вы будете лично отвечать за разработку программы безопасности приложений и управлять небольшой командой опытных специалистов, которые занимаются IT-операциями и соблюдением нормативных требований.

Это должность с прямым подчинением вице-президенту, с высокой степенью автономии и видимостью. Корпоративные клиенты регулярно спрашивают о состоянии безопасности Fingerprint. Вы будете тем человеком, который будет отвечать на эти вопросы.

Ваша миссия

• Разработка и развитие безопасности приложений — это центр тяжести этой роли. Определите дорожную карту безопасности приложений, внедрите процессы проверки и управления уязвимостями, а также практики безопасности по умолчанию во всей организации инжиниринга. Вы устанавливаете стандарт, соблюдаете его и работаете с другими командами, чтобы воплотить его в жизнь.
• Руководство небольшой командой опытных специалистов в области ИТ и соблюдения нормативных требований — Ведущий инженер по ИТ и руководитель по соблюдению нормативных требований обладают глубокими знаниями в своих областях и самостоятельно выполняют свою работу. Вы предоставляете им направление, контекст, приоритеты и поддержку, а также достаточно быстро разбираетесь в их областях, чтобы представлять их авторитетно — вам не нужно быть экспертом в области ИТ или GRC.
• Быть голосом безопасности для клиентов и руководства — Корпоративные клиенты, потенциальные клиенты и партнеры оценивают состояние безопасности Fingerprint. Вы представляете его авторитетно, отвечаете за процесс заполнения анкет по безопасности и сообщаете о рисках и состоянии дел вице-президенту и руководству.
• Со временем объединить функции — Безопасность, ИТ и соблюдение нормативных требований функционировали как отдельные направления работы. По мере вашего роста объедините их под единой стратегией с общими стандартами, общим языком рисков и дорожной картой, масштабируемой в соответствии с бизнесом.

Что вы будете делать

Безопасность приложений (основной фокус)

• Определять и отвечать за дорожную карту безопасности приложений Fingerprint: управление уязвимостями, моделирование угроз и процесс проверки безопасности новых функций и архитектурных изменений — и сотрудничать с руководителем отдела по соблюдению нормативных требований, который в настоящее время руководит программой тестирования на проникновение, для связи результатов с устранением недостатков инжинирингом.
• Лично руководить работой по безопасности приложений на раннем этапе — обрабатывать результаты, проводить проверки безопасности, сотрудничать с инженерами по устранению недостатков — одновременно создавая программу, которая масштабируется за пределы вашей деятельности.
• Внедрять практики безопасности по умолчанию в рабочие процессы инжиниринга — безопасный SDLC, гигиена зависимостей и секретов, сканирование, интегрированное с CI (Snyk или аналог) — не как ограничения, а как возможность, доступная каждой инженерной команде.
• Разрабатывать программу с учетом AI-приоритета: небольшая команда AppSec охватывает всю организацию, только опираясь на автоматизированную обработку результатов и устранение недостатков с помощью ИИ, агентов для проверки безопасности в цикле кодирования и CI, а также тестирования с поддержкой ИИ. Вы будете определять, каким инструментам доверять, и как проверять их результаты.
• Отвечать за процесс оценки безопасности поставщиков — Fingerprint обрабатывает конфиденциальные данные клиентов для крупных корпоративных клиентов; вы гарантируете, что третьи стороны соответствуют стандартам.
• Определять принципы безопасности zero-trust и сотрудничать со старшим менеджером Cloud Platform для их внедрения в инфраструктуру: сетевая безопасность, стандарты IAM, журналы безопасности и оповещения.
• Руководить реагированием на инциденты безопасности, связанные с приложением, и координировать действия с Cloud Platform по инцидентам инфраструктуры.

Руководство ИТ и соблюдением нормативных требований

• Управлять руководителем отдела по соблюдению нормативных требований и командой ИТ (старший инженер по ИТ плюс инженер по ИТ, который присоединится в ближайшее время). Они ежедневно отвечают за свои области — SOC 2 Type 2, политика, аудиторы, IT-операции и инструменты для глобально распределенной организации. Вы предоставляете им направление, приоритеты, организационный контекст и поддержку для развития.
• Принимать межфункциональные решения: какие нормативные рамки стоит преследовать в дальнейшем для поддержки бизнес-потребностей, куда направлять инвестиции в ИТ и как приоритизировать работу между безопасностью, ИТ и соблюдением нормативных требований.
• Отвечать за стыки между безопасностью и двумя другими функциями — обзоры доступа, управление идентификацией, состояние устройств, тщательность процедур увольнения и связь между элементами управления AppSec и доказательствами соблюдения нормативных требований — чтобы программа безопасности укрепляла ИТ и соблюдение нормативных требований, а не создавала параллельную работу.
• Представлять состояние ИТ и соблюдения нормативных требований руководству и в рамках корпоративных циклов продаж вместе с вашей командой.

Межфункциональное руководство и коммуникация

• Проактивно сообщать о состоянии безопасности, соответствии нормативным требованиям и состоянии ИТ вице-президенту по инжинирингу — предлагайте рекомендации, а не отчеты о статусе.
• Сотрудничать с руководством инженерного отдела для внедрения практик безопасности в продуктовые команды — не как контрольную точку соответствия, а как ценную для них возможность.
• Представлять состояние безопасности и соблюдения нормативных требований Fingerprint корпоративным клиентам, потенциальным клиентам и аудиторам.

Что мы ищем

Обязательно

• Глубокие знания в области безопасности приложений: более 7 лет опыта в области безопасности со значительным практическим опытом в области безопасности приложений — вы создали или существенно улучшили программу безопасности приложений, проводили проверки безопасности и моделирование угроз, отвечали за управление уязвимостями (Snyk или аналог) и работали с тестировщиками на проникновение. Вы можете авторитетно обсуждать безопасный дизайн, OWASP и реальные эксплойты с опытными инженерами.
• Знание инжиниринга: вы можете читать код, понимать современные веб/API-архитектуры и общаться с инженерами по вопросам устранения недостатков без переводчика.
• Лидерство в управлении людьми: более 2 лет опыта управления людьми — вы руководили специалистами, в том числе теми, кто обладает более глубокими знаниями в своей области, чем вы, и вы знаете, как ставить задачи, не прибегая к микроменеджменту.
• Оператор, ориентированный на ИИ: вы ежедневно используете ИИ-агентов в своей работе и понимаете, как безопасность, управляемая ИИ, и код, сгенерированный ИИ, меняют форму программы безопасности приложений — вы будете создавать такую программу, а не следовать устаревшим методикам.
• Быстрое обучение в различных областях: вы можете быстро освоить новую область, задавать правильные вопросы и говорить о ней широко и авторитетно в течение нескольких месяцев — так вы будете осваивать ИТ и соблюдение нормативных требований.
• Стратегический коммуникатор: вы переводите сложность безопасности на язык бизнеса для руководства и клиентов — формулируете риски, а не используете технический жаргон.

Желательно

• Опыт работы с IT-операциями: управление идентификацией и доступом (Okta или аналог), управление конечными точками или IT для удаленной рабочей силы — полезно, но ваша IT-команда обладает операционной глубиной.
• Опыт работы в области соответствия нормативным требованиям / GRC: опыт работы с SOC 2, ISO 27001 или GDPR — полезно, но ваш руководитель по соблюдению нормативных требований ежедневно управляет программой.
• Знакомство со стеком инструментов безопасности: Snyk (управление уязвимостями), Wiz (состояние безопасности облака), Cloudflare (WAF/edge), Okta — эти инструменты используются в среде Fingerprint.
• Инструменты безопасности, ориентированные на ИИ: вы использовали или оценивали анализ кода с поддержкой ИИ, обработку результатов, автоматическое устранение недостатков или автономное тестирование в реальной программе и имеете представление о том, как это меняет структуру команды безопасности приложений и чему можно безопасно доверять для блокировки или исправления.
• Опыт работы с корпоративными анкетами по безопасности: вы отвечали на строгие анкеты должной осмотрительности от команд информационной безопасности финансовых учреждений и знаете, что такое «хорошо» с обеих сторон этого процесса.
• Опыт работы в быстрорастущей SaaS-компании, где безопасность должна была соответствовать быстрому росту продукта и клиентской базы, не становясь узким местом.

Уникальность этой роли

Эта роль в первую очередь связана с безопасностью приложений, а сфера управления охватывает ИТ и соблюдение нормативных требований. Такая структура является намеренной. Безопасность приложений — это область, в которую мы сейчас инвестируем, и мы хотим, чтобы кто-то мог лично создать ее, а не просто контролировать. В то же время, ИТ и соблюдение нормативных требований уже управляются опытными специалистами, которым не нужен эксперт-руководитель; им нужен лидер, который предоставит им направление, контекст и приоритеты.

Что это означает на практике: вы будете активно участвовать в разработке безопасности приложений и дистанционно, но ответственно — в ИТ и соблюдении нормативных требований. Мы не ожидаем, что вы станете экспертом в области IT-операций или GRC. Мы ожидаем, что вы быстро освоите эти области — в течение первых нескольких месяцев достаточно хорошо, чтобы оценивать работу своей команды, принимать решения о приоритетах во всех трех дисциплинах и авторитетно представлять каждую из них руководству и клиентам. Способность различать, когда полагаться на свою команду, а когда принимать решение самостоятельно, отличает подходящего кандидата.

Это роль для человека, который по-прежнему является сильным специалистом в области безопасности приложений и развил навыки управления людьми, а не для того, кто полностью отошел от технической работы, и не для чистого индивидуального исполнителя, который ранее не управлял людьми.

Почему эта роль?

• Создание выделенной функции безопасности приложений с нуля, при поддержке: Это спонсируемая, приоритетная инвестиция, и у вас есть полномочия и поддержка вице-президента, чтобы построить ее по-своему.
• Прямое подчинение вице-президенту с реальной автономией: Вы отвечаете за функцию. Вы обращаетесь к вице-президенту с рекомендациями, а не с просьбами о указаниях.
• Сильная команда уже на месте: Старший инженер по ИТ и руководитель по соблюдению нормативных требований — это компетентные, опытные специалисты, которые самостоятельно управляют своими областями. Вы не создаете ИТ или соблюдение нормативных требований с нуля — вы предоставляете им стратегическое руководство.
• Высокая видимость для клиентов: Fingerprint обслуживает крупных корпоративных клиентов в сфере финансовых услуг, предотвращения мошенничества и других областях. Состояние безопасности является реальным дифференциатором в корпоративных продажах, и вы — человек, который отвечает за это.
• Зрелость соответствия нормативным требованиям, на которой можно строить: SOC 2 Type 2 уже достигнут. Следующий этап — расширение рамок, более глубокие корпоративные требования к соответствию — вам предстоит формировать вместе с вашим руководителем по соблюдению нормативных требований.
• Функция получает выделенное руководство: Безопасность, ИТ и соблюдение нормативных требований развивались в рамках более крупной инфраструктурной группы. Эта роль существует, потому что Fingerprint предоставляет им сфокусированное, стратегическое руководство для перехода на новый уровень.

Компенсация и прозрачность

В Fingerprint мы верим в прозрачность оплаты труда — это часть того, как мы работаем в распределенной, ориентированной на удаленную работу команде. Заработная плата основана на функции, уровне и географическом местоположении, сопоставляется с аналогичными компаниями на этапе роста.

Поскольку эта вакансия открыта по всей территории Соединенных Штатов и может быть основана в любой точке, где работают наши сотрудники, диапазон заработной платы отражает эту географическую широту: $177 000 - $240 000.

Ниже приведены примеры заработной платы для конкретных мест:

• Нью-Йорк: $209 000 - $240 000
• Чикаго: $177 000 - $204 000

Окончательные предложения определяются множеством факторов, включая местоположение, опыт и знания успешного кандидата, и могут отличаться от приведенных выше сумм.

По регуляторным и безопасностным причинам существует небольшое количество стран, в которых мы не можем иметь сотрудников Fingerprint. Кроме того, поскольку Fingerprint является полностью удаленной компанией, и люди могут присоединиться к нашей рабочей силе практически из любой страны, мы не спонсируем визы. Сотрудники Fingerprint должны иметь разрешение на работу в месте своего проживания.

Мы стремимся создать инклюзивную рабочую среду для всех. Мы ценим и отмечаем уникальный опыт, точки зрения и культурное происхождение, которые каждый сотрудник привносит в нашу рабочую среду. Fingerprint стремится развивать среду, в которой наши сотрудники чувствуют себя уважаемыми, ценными и уполномоченными, а наши сотрудники находятся на переднем крае, помогая нам продвигать и поддерживать инклюзивную рабочую среду. Мы настоятельно рекомендуем подавать заявки представителям недопредставленных групп в сфере технологий.

Если вы подаете заявку в качестве резидента Калифорнии, пожалуйста, ознакомьтесь с нашим уведомлением CCPA здесь.

Если вы подаете заявку в качестве резидента ЕС, пожалуйста, ознакомьтесь с нашим уведомлением GDPR здесь.

Мы заметили рост числа мошеннических действий, связанных с наймом сотрудников в отрасли, когда мошенники пытаются получить доступ к личной и финансовой информации кандидатов через поддельные собеседования и предложения. Все служебные письма Fingerprint по подбору персонала всегда будут поступать с домена @fingerprint.com. Любые обращения от имени Fingerprint через другие источники следует игнорировать.