Заголовок: Менеджер по безопасности продуктов
Местоположение: Торранс, Калифорния
Вознаграждение: 120 000 - 220 000 долларов США в год
О Northwood:
Northwood — современная компания в области космической инфраструктуры, которая благодаря передовым коммуникационным технологиям делает космос доступным для всех. Мы создаем глобальную сеть наземных станций с фазированными антенными решетками, обеспечивающую надежную связь в реальном времени для спутниковых миссий, таких как обеспечение национальной безопасности, глобальная связь и реагирование на стихийные бедствия. Используя вертикально интегрированный подход, Northwood проектирует, создает и быстро развертывает масштабируемые системы, которые обеспечивают работу космических миссий нового поколения. Если вам нравится решать сложные задачи и видеть, как ваша работа приносит реальную пользу по всему миру, Northwood — это место для вас.
Роль
В качестве руководителя отдела безопасности продуктов вы будете отвечать за безопасность программного обеспечения и систем Northwood на всех этапах, от проектирования до развертывания. Это старшая техническая руководящая должность для инженера с глубокими знаниями полного жизненного цикла безопасности продуктов — от моделирования угроз и обзора безопасной архитектуры до тестирования на проникновение, управления уязвимостями и криптографических основ, которые защищают критически важные космические коммуникации.
Вы будете внедрять безопасность на каждом этапе нашего жизненного цикла разработки программного обеспечения, создавать и развивать нашу программу безопасности приложений, а также гарантировать, что продукты, которые Northwood поставляет государственным и коммерческим заказчикам, соответствуют самым строгим требованиям безопасности в отрасли. Эта роль предполагает тесное сотрудничество с командами разработчиков продуктов и инфраструктуры, а отчетность будет осуществляться руководителю отдела безопасности.
Обязанности
Безопасность приложений и SDLC
- Отвечать за безопасность приложений на протяжении всего жизненного цикла разработки программного обеспечения, обеспечивая определение, проверку и соблюдение требований безопасности от проектирования до выпуска в продакшн.
- Проводить обзоры архитектуры безопасности и моделирование угроз для новых функций продукта, изменений платформы и интеграции сторонних компонентов.
- Разрабатывать и поддерживать стандарты безопасного кодирования, этапы проверки безопасности и программы обучения разработчиков основам безопасности.
- Выступать в качестве основного специалиста по безопасности для команд разработки продуктов, переводя требования соответствия и безопасности в практические рекомендации для инженеров.
SAST, DAST и управление уязвимостями
- Развертывать, управлять и постоянно совершенствовать инструменты статического (SAST) и динамического (DAST) анализа безопасности приложений, интегрированные в рабочие процессы разработки.
- Полностью отвечать за программу управления уязвимостями: обнаружение, классификация, приоритизация, отслеживание устранения и отчетность по всем продуктам и системам инфраструктуры.
- Проводить и координировать тестирование на проникновение продуктов и инфраструктуры Northwood, включая определение области, выполнение, управление результатами и проверку устранения уязвимостей.
- Создавать и поддерживать конвейеры сканирования безопасности контейнеров, анализа зависимостей и анализа состава программного обеспечения (SCA).
Безопасность CI/CD и управление секретами
- Интегрировать автоматизированную проверку безопасности и соблюдение политик в конвейеры CI/CD, гарантируя, что средства контроля безопасности не замедляют работу инженеров.
- Отвечать за инфраструктуру управления секретами, включая развертывание, настройку политик, контроль доступа и аудит журналов для таких платформ, как HashiCorp Vault.
- Внедрять и обеспечивать соблюдение правил безопасного управления артефактами, подписи и целостности цепочки поставок во всех конвейерах сборки и развертывания.
- Проверять и укреплять безопасность Infrastructure as Code, рабочих процессов GitOps и автоматизации развертывания на предмет несоответствий конфигурации безопасности и нарушений политик.
Криптография и безопасные коммуникации
- Проектировать и внедрять криптографические средства контроля для данных при хранении, данных при передаче и протоколов спутниковой связи, обеспечивая соответствие стандартам NIST и требованиям государственных заказчиков.
- Оценивать и консультировать по вопросам выбора криптографических библиотек, архитектуры управления ключами и управления жизненным циклом сертификатов.
- Выявлять и устранять криптографические слабости в системных продуктах, включая использование устаревших протоколов, небезопасные конфигурации шифров и некорректную обработку ключей.
Руководство командой и межфункциональное сотрудничество
- Нанимать и развивать инженеров по безопасности продуктов по мере роста команды.
- Сотрудничать с отделами сетевых операций, управления миссиями и соответствия требованиям для поддержания уровня безопасности, который обеспечивает успех миссии, не нарушая циклы развертывания.
- Разрабатывать стандарты документации по безопасности, доказательств аудита и отчетности, соответствующие требованиям FedRAMP, CMMC и NIST 800-171.
Основные квалификации
- Более 5 лет опыта работы в области безопасности продуктов, безопасности приложений или смежных дисциплин инженерии безопасности, с подтвержденным опытом технического руководства.
- Глубокие знания инструментов SAST и DAST, включая выбор инструментов, интеграцию в конвейеры CI/CD и программы устранения уязвимостей, ориентированные на результат.
- Практический опыт проведения или координации мероприятий по тестированию на проникновение, включая определение области, выполнение и проверку устранения уязвимостей.
- Глубокие знания прикладной криптографии, включая симметричное и асимметричное шифрование, PKI, управление ключами и проектирование безопасных протоколов.
- Опыт управления программами управления уязвимостями, включая фреймворки приоритизации, соблюдение SLA и отчетность для руководства.
- Уверенное владение платформами управления секретами, такими как HashiCorp Vault, включая проектирование политик и архитектуру контроля доступа.
- Опыт обеспечения безопасности конвейеров CI/CD и рабочих процессов GitOps, включая проверку безопасности IaC и внедрение автоматизированных этапов контроля безопасности.
- Владение одним или несколькими языками программирования общего назначения (Python, Go, Rust или эквивалент).
- Знакомство с правительственными стандартами соответствия, включая NIST 800-171, CMMC и FedRAMP.
- Возможность получить и поддерживать допуск TS/SCI.
- Гражданство США или статус законного постоянного жителя США требуется в соответствии с экспортными правилами ITAR.
Предпочтительные квалификации
- Действующий допуск TS или выше.
- Опыт работы с HashiCorp Vault, Terraform и ArgoCD в производственных средах.
- Практический опыт сканирования безопасности контейнеров, контроллеров допуска и паттернов безопасности микросервисов.
- Знакомство с фреймворками и инструментами безопасности цепочки поставок программного обеспечения (SLSA, Sigstore, генерация SBOM).
- Опыт работы в аэрокосмической, оборонной, критически важной инфраструктуре или других регулируемых отраслях.
- Опыт соответствия требованиям DFARS, ITAR и требованиям безопасности государственных контрактов.
- Знакомство с eMASS или аналогичными государственными инструментами оценки и авторизации.
- Наличие профессиональной сертификации CISSP, CSSLP, OSCP или эквивалентной.
Дополнительные требования
- Данная должность требует успешного получения и поддержания допуска к секретной информации Top Secret в качестве условия трудоустройства. Хотя допуск может быть не необходим сразу после найма, мы рекомендуем вам незамедлительно начать процесс его получения после принятия этого предложения. Ваша способность получить необходимый допуск имеет решающее значение для выполнения ключевых обязанностей данной должности. В случае невозможности его получения Northwood Space оставляет за собой право изменять или прекращать вашу занятость в соответствии с потребностями.
Дополнительная информация:
Если вам требуется разумное приспособление в рамках вашего заявления о приеме на работу или собеседований с нами, пожалуйста, сообщите нам об этом.
В соответствии с правилами правительства США по экспорту космических технологий, включая Международные правила торговли оружием (ITAR), вы должны быть гражданином США, законным постоянным жителем США, защищенным лицом, как определено в 8 U.S.C. 1324b(a)(3), или иметь право получить необходимые разрешения от Государственного департамента США.
Northwood Space является работодателем, предоставляющим равные возможности; трудоустройство в Northwood Space основано на заслугах, компетентности и квалификации и не зависит от расы, цвета кожи, религии, пола, национального происхождения/этнической принадлежности, статуса ветерана, статуса инвалида, возраста, сексуальной ориентации, гендерной идентичности, семейного положения, психического или физического заболевания или любого другого статуса, защищенного законом.
