Sr Product Security Engineer

BeyondTrust — это место, где вы можете воплотить свою цель в жизнь благодаря работе, которую вы выполняете, создавая более безопасный мир с помощью нашего портфеля кибербезопасных SaaS-решений. Наша культура гибкости, доверия и постоянного обучения означает, что вы будете признаны за свой рост и за влияние, которое вы оказываете на наш успех. Вы будете окружены людьми, которые бросают вызов, поддерживают и вдохновляют вас быть лучшей версией себя. Роль Мы нанимаем Старшего инженера по безопасности продуктов для создания и эксплуатации современного конвейера безопасности, который лежит в основе всего, что делает наша команда по безопасности продуктов. Вы создадите и будете поддерживать инфраструктуру безопасности SDLC, используя Claude Code Security, Codex Security, GitHub Advanced Security, Wiz CLI и интегрированные инструменты, которые предоставляют командам инженеров быструю, надежную обратную связь по безопасности при каждом коммите, каждом PR и каждом релизе. Вы мыслите в первую очередь об автоматизации. Когда вы видите ручной процесс проверки безопасности, ваш инстинкт — создать рабочий процесс, который обрабатывает повторяющиеся части и предоставляет только те решения, которые требуют участия человека. Вы будете разрабатывать и проводить проверки безопасности продуктов с контрольными точками, включающими человека, обеспечивая масштабирование покрытия с организацией инженеров без превращения в "бутылочное горлышко". Вы будете доверенным партнером для инженеров. Это означает, что ваши инструменты работают надежно, ваши выводы точны, ваши интеграции уважают их рабочий процесс, и когда что-то ломается или создает "шум", вы быстро это исправляете. Вы будете тесно сотрудничать с тестировщиками безопасности, архитекторами, TPM и инженерными командами по всему портфелю продуктов. Вы также будете поддерживать реагирование на инциденты продуктов при возникновении проблем безопасности, работая вместе с более широкой командой по безопасности продуктов для расследования, определения масштабов и устранения последствий. Что вы будете делать Конвейер безопасности SDLC: Создавайте и поддерживайте конвейер безопасности продуктов, интегрированный на протяжении всего жизненного цикла разработки программного обеспечения. Внедряйте и настраивайте Claude Code Security, Codex Security, GitHub Advanced Security (сканирование кода, сканирование секретов, Dependabot) и Wiz CLI в репозиториях и конвейерах CI/CD. Отвечайте за настройку, обеспечение соблюдения политик и постоянное совершенствование этих инструментов, чтобы команды инженеров получали точную, действенную обратную связь по безопасности со скоростью разработки. Проектирование автоматизированных проверок безопасности: Разрабатывайте и эксплуатируйте автоматизированные рабочие процессы проверки безопасности продуктов с контрольными точками, включающими человека. Используйте Claude и платформы LLM для автоматизации первоначальной сортировки, классификации рисков и генерации рекомендаций, передавая их архитекторам безопасности или старшим инженерам для принятия решений, требующих суждений. Цель состоит в том, чтобы каждое изменение получало соответствующее покрытие проверки безопасности, не становясь "бутылочным горлышком" для ручной проверки. Интеграция инструментов и опыт инженера: Обеспечьте чистую интеграцию инструментов безопасности в рабочие процессы инженеров: GitHub PRs, конвейеры CI/CD, плагины IDE и панели инструментов разработчика. Уменьшайте количество ложных срабатываний, настраивайте наборы правил в соответствии с фактическим профилем рисков продукта и создавайте циклы обратной связи, чтобы выводы со временем улучшались. Вы отвечаете за опыт инженеров в работе с инструментами безопасности. Когда разработчик взаимодействует с защитой безопасности, она должна быть понятной, быстрой и полезной. Автоматизация на основе AI: Используйте Claude Code Security, Codex Security и платформы LLM для создания автоматизации, которая масштабирует инженерию безопасности. Это включает автоматическую сортировку проверок кода, обнаружение шаблонов уязвимостей, генерацию предложений по исправлению, обеспечение соблюдения политик как кода и обобщение проверок безопасности. Вносите повторно используемые запросы, навыки и плагины в общую библиотеку команды безопасности продуктов. Поддержка реагирования на инциденты продуктов: Поддерживайте реагирование на инциденты продуктов вместе с командой безопасности продуктов. Помогайте расследовать инциденты безопасности, влияющие на продукты, определять масштабы воздействия, координировать действия с инженерами по экстренным исправлениям и вносить вклад в анализ первопричин и улучшения после инцидентов. Межкомандное партнерство: Тесно сотрудничайте с тестировщиками безопасности, чтобы сканирование и автоматизированные инструменты предоставляли проверенные выводы в их рабочий процесс. Сотрудничайте с архитекторами для преобразования стандартов безопасного проектирования в принудительные политики конвейера. Координируйте работу с TPM по отслеживанию и отчетности по выводам, сгенерированным инструментами. Будьте контактным лицом для инженерных команд по вопросам инструментов безопасности, настройки и устранения неполадок. Что вы принесете 4+ года опыта в области безопасности приложений, безопасности продуктов, DevSecOps или безопасности инженерии с практическим опытом создания и эксплуатации инструментов безопасности в конвейерах CI/CD Опыт внедрения и настройки инструментов SAST, DAST, SCA и сканирования секретов в средах, интегрированных с GitHub (GitHub Advanced Security, CodeQL, Dependabot или эквивалент) Практический опыт использования инструментов безопасности на базе AI, таких как Claude Code Security, Codex Security или аналогичные платформы анализа кода на базе LLM Глубокое понимание архитектуры конвейеров CI/CD и того, как элементы управления безопасностью интегрируются без нарушения скорости работы разработчиков Опыт создания рабочих процессов автоматизации: написание скриптов, настройка конвейеров, политики как кода, интеграция веб-хуков и оркестрация рабочих процессов Знакомство с инструментами сканирования безопасности контейнеров (Wiz CLI, Trivy, Snyk Container или эквивалент) и основами безопасности облака (предпочтительно AWS) Вы достаточно хорошо понимаете распространенные классы уязвимостей, чтобы настраивать инструменты, сортировать выводы и вести авторитетные беседы с инженерами о серьезности и устранении последствий. Сильные навыки сотрудничества. Вы будете ежедневно работать с тестировщиками безопасности, архитекторами, TPM и инженерными командами и должны эффективно общаться со всеми из них. Мышление, ориентированное на автоматизацию. Вы по умолчанию создаете повторяемые, масштабируемые рабочие процессы и обращаетесь к ручным процессам только тогда, когда автоматизация действительно не справляется. Что будет плюсом Опыт использования GitHub Advanced Security в масштабе: пользовательские запросы CodeQL, пользовательские шаблоны сканирования секретов и развертывание в масштабах организации Опыт эксплуатации Wiz CLI или аналогичного сканирования безопасности облака/контейнеров, интегрированного в CI/CD Опыт поддержки реагирования на инциденты продуктов или расследования инцидентов безопасности Знакомство с фреймворками политик как кода (OPA/Rego, Kyverno или эквивалент) Опыт защиты технологий конечных точек, систем идентификации или корпоративных платформ безопасности Опыт создания программ развития разработчиков, документации по безопасности или инструментов самообслуживания по безопасности Опыт безопасности облачных сред AWS, Azure или Kubernetes Как мы будем измерять успех Охват инструментов безопасности репозиториями и конвейерами является всеобъемлющим и постоянно поддерживается. Автоматизированные рабочие процессы проверки безопасности обрабатывают большинство проверок с эскалацией через человека для изменений с высоким риском. Уровень ложных срабатываний со временем снижается благодаря настройке и циклам обратной связи, которые вы создаете. Команды инженеров воспринимают инструменты безопасности как быстрые, точные и интегрированные в их существующий рабочий процесс. Повторно используемая автоматизация, запросы и плагины, которые вы создаете, принимаются командой безопасности продуктов. Вы — человек, к которому обращаются инженерные команды за поддержкой инструментов безопасности, потому что они доверяют вашей оперативности и опыту. Лучше вместе Разнообразие. Инклюзивность. Для нас это больше, чем просто слова. Это руководящие ценности того, как мы формируем наши команды, развиваем лидеров и создаем культуру, в которой люди чувствуют себя связанными. Мы заботимся о наших сотрудниках, чтобы они могли заботиться о наших клиентах. Клиентах, которые приходят из разных слоев общества, как и мы. Мы нанимаем невероятных людей из разных слоев общества, потому что, когда мы разные вместе, мы сильнее вместе. О нас BeyondTrust — мировой лидер в области безопасности идентификации, защищающий "Пути к привилегиям™". Наш подход, ориентированный на идентификацию, выходит за рамки защиты привилегий и доступа, предоставляя организациям наиболее эффективное решение для управления всей поверхностью атак идентификации и нейтрализации угроз, как внешних, так и внутренних. BeyondTrust возглавляет процесс трансформации безопасности идентификации для предотвращения утечек и ограничения масштабов атак, одновременно создавая превосходный клиентский опыт и операционную эффективность. Нам доверяют 20 000 клиентов, в том числе 75 компаний из списка Fortune 100, и наша глобальная экосистема партнеров. Узнайте больше на www.beyondtrust.com.