Название: Руководитель отдела безопасности
Команда: Техническая команда
Местоположение: LATAM
Тип занятости: Полная занятость
О нас:
Airtm — это компания, предоставляющая финансовую инфраструктуру, которая создает будущее экономики онлайн-работы. Наша миссия — расширить возможности растущего числа цифровых предпринимателей в Глобальном Юге, предоставив им финансовую свободу для процветания.
Проблема очевидна: на развивающихся рынках доступ к долларовой экономике затруднен. Трансграничные платежи медленные, дорогие и часто теряют ценность из-за инфляции. Это ограничивает потенциал миллионов талантливых людей.
Решение Airtm — это быстрая и комплексная финансовая платформа, которая облегчает трансграничные платежи на небольшие суммы и локальные выплаты наличными. Являясь пионерами в области инфраструктуры платежей в стейблкоинах, Airtm создала самую передовую систему трансграничных платежей, доступную на рынке.
Поскольку мы тесно связаны с миром онлайн-работы, Airtm выходит за рамки платежей, создавая необходимую инфраструктуру для процветания экономики онлайн-работы. Мы развиваем совершенно новую экономику, предоставляя людям, сообществам и странам инструменты для контроля над своей финансовой судьбой.
О роли
Мы ищем Руководителя отдела безопасности, который возглавит отдел безопасности в Airtm и будет подчиняться Вице-президенту по инжинирингу. Вы будете отвечать за безопасность систем, которые перемещают деньги людей через границы, от кода приложений и облачной инфраструктуры до идентификации, поставщиков и реагирования на инциденты. Вы определите стратегию, построите команду и соответствующие практики, а также останетесь достаточно вовлеченными, чтобы самостоятельно принимать сложные технические решения.
Наш стек — это микросервисы TypeScript/Node.js на Kubernetes (AWS) с фронтендами React, организованные в автономные продуктовые команды. Безопасность здесь работает как инструмент, интегрированный в процесс разработки, а не как барьер в конце. Разработка с использованием ИИ является основой нашего подхода к созданию, поэтому вы должны свободно использовать инструменты ИИ для работы по обеспечению безопасности и определять, как мы безопасно внедряем ИИ-агентов и системы на основе LLM.
Основные обязанности
- Стратегия и дорожная карта безопасности: Определить и взять на себя ответственность за основанную на оценке рисков стратегию безопасности для финансовой платформы; приоритизировать инвестиции исходя из реальных угроз и влияния на бизнес, а также отчитываться о состоянии безопасности перед руководством и советом директоров.
- Реагирование на инциденты: Отвечать за обнаружение, реагирование и восстановление после инцидентов безопасности; поддерживать руководства по эксплуатации, возглавлять расследование инцидентов и пост-инцидентные обзоры, координировать работу с экспертами по расследованию, юридическим отделом и отделом коммуникаций, а также использовать каждый инцидент для внесения постоянных улучшений.
- Безопасность приложений: Интегрировать безопасность в SDLC посредством моделирования угроз, анализа безопасной архитектуры, сканирования SAST/DAST/зависимостей и стандартов безопасного кодирования, которые инженеры действительно принимают.
- Безопасность облака и инфраструктуры: Взаимодействовать с отделом инфраструктуры для укрепления безопасности AWS, Kubernetes, сетевой инфраструктуры и конвейеров CI/CD; отвечать за IAM и предоставление минимальных привилегий, управление секретами и безопасность в рабочих процессах Terraform и GitOps.
- Обнаружение и мониторинг: Создать возможности обнаружения и оповещения для раннего выявления вредоносной активности в логах приложений, инфраструктуры и доступа, а также настроить их для поддержания высокого уровня сигнала.
- Безопасность криптографии и ключей: Обеспечить безопасность модели управления ключами, операций с кошельками и хранением, а также блокчейн-интеграций, от которых зависят наши платежные рельсы.
- Сотрудничество по вопросам мошенничества и безопасности учетных записей: Работать с командами Продуктов и Рисков над контролем захвата учетных записей, злоупотреблений и транзакций на уровне отдельных транзакций.
- Безопасность ИИ: Определить защитные меры для инструментов кодирования на основе ИИ, а также для ИИ-агентов и конвейеров LLM, которые мы создаем или развертываем, включая разрешения агентов, защиту от инъекций промптов, раскрытие данных и границы доступа к инструментам.
- Соответствие требованиям и обеспечение качества: Руководить нашей программой соответствия требованиям безопасности (SOC 2 и связанные с ней фреймворки), аудитами и анкетами безопасности клиентов и партнеров, стремясь сделать соответствие нормативным требованиям побочным продуктом качественной инженерии, а не отдельной нагрузкой.
- Риски поставщиков и третьих сторон: Проводить оценку рисков поставщиков и проверку безопасности партнеров, инвесторов и приобретателей.
- Управление уязвимостями и исправлениями: Установить четкие SLA по степени серьезности и обеспечить своевременное устранение уязвимостей командами, не становясь при этом узким местом.
- Построение команды и наставничество: Нанимать, развивать и руководить инженерами по безопасности; создавать сеть чемпионов по безопасности внутри продуктовых команд; повышать общий уровень безопасности во всей инженерии.
- Дежурства и эскалация: Участвовать в определении пути эскалации инцидентов безопасности в производственной среде и помогать в его формировании.
Обязательные квалификации
- 8+ лет опыта в области информационной или прикладной безопасности, включая 3+ года руководства командами или функциями безопасности.
- Подтвержденный опыт руководства реагированием на инциденты в реальных, ответственных ситуациях, включая координацию с внешними экспертами по расследованию и юристами.
- Глубокие знания безопасности AWS и безопасности Kubernetes (IAM, сетевая сегментация, RBAC, управление секретами, безопасность контейнеров и образов).
- Практический опыт безопасности приложений в среде микросервисов: моделирование угроз, проверка безопасного кода, управление рисками зависимостей и цепочки поставок.
- Опыт создания возможностей обнаружения и мониторинга (SIEM, анализ логов, оповещение; Datadog или аналогичные).
- Опыт управления или руководства программой соответствия требованиям, такой как SOC 2, ISO 27001 или PCI-DSS, включая циклы аудита.
- Способность читать и анализировать код TypeScript/Node.js и инфраструктуру как код (Terraform); вам не обязательно быть разработчиком на полную ставку, но вы должны быть авторитетны для инженеров.
- Опыт обеспечения безопасности конвейеров CI/CD и цепочек поставок программного обеспечения.
- Практический опыт работы с инструментами, поддерживаемыми ИИ (например, Claude Code, Cursor, GitHub Copilot) для работы по обеспечению безопасности, и четкое понимание рисков, связанных с кодом, сгенерированным ИИ, и агентными системами.
- Отличные коммуникативные навыки; способность объяснять риски инженерам, руководителям, регулирующим органам и клиентам, а также писать политики и руководства, которым следуют люди.
- Здравый смысл под давлением; способность принимать быстрые, обоснованные решения при неполной информации.
Желательно
- Опыт работы в сферах финтеха, платежей, денежных переводов или криптовалют, особенно в области управления ключами, хранения и безопасности блокчейна.
- Опыт борьбы с мошенничеством, захватом учетных записей и предотвращением злоупотреблений.
- Опыт обеспечения безопасности ИИ-агентов и систем на базе LLM в производственной среде (защита от инъекций промптов, модели разрешений для инструментов, подходы к оценке и тестированию на проникновение).
- Практический опыт в области атакующей безопасности (тестирование на проникновение, тестирование на проникновение) или управление программами bug bounty.
- Опыт работы с облачными инструментами безопасности (CSPM, защита в реальном времени, политика как код, такая как OPA/Kyverno).
- Знакомство с нормативными требованиями к денежным переводам и финансовым услугам в различных юрисдикциях.
- Сертификаты безопасности (CISSP, CISM, OSCP, AWS Security Specialty).
- Опыт поддержки проверки безопасности инвесторов, покупателей или корпоративных клиентов.
- Опыт создания функции безопасности с нуля в быстрорастущей инженерной организации.
Что мы ищем
Помимо технических навыков, мы ищем лидера, который:
- Берет на себя ответственность за результаты в области безопасности, сохраняет спокойствие и ясность мышления во время инцидентов и своевременно сообщает о повышении рисков.
- Рассматривает безопасность как партнерство с инженерами, создавая защитные меры и простые пути, а не барьеры и заявки.
- Имеет хорошее представление о рисках, знает, когда следует остановить выпуск, когда небольшой риск оправдывает скорость, и как объяснить компромисс бизнесу.
- Улучшает команду вокруг себя посредством наставничества, привлечения чемпионов и создания безопасных решений как простых.
- Сотрудничает без границ, работая с отделами Продуктов, Инфраструктуры, Юридическим, Соответствия требованиям и Поддержки как единая команда.
- Знает, когда (и когда не) следует полагаться на инструменты ИИ, и применяет строгий подход к их безопасному внедрению.
