Product Security Engineer (m/f/d) in Warsaw

Aras jest wiodącym dostawcą rozwiązań cyfrowych dla zarządzania cyklem życia produktu (PLM) i sztucznej inteligencji inżynieryjnej. Jako jedna z najszybciej rozwijających się firm PLM, nasza platforma oparta na AI i niskim kodzie umożliwia szybkie dostarczanie elastycznych rozwiązań, które łączą zespoły w różnych dziedzinach i funkcjach z krytycznymi danymi o produktach oraz agenticzną AI w całym cyklu życia produktu i rozszerzonym łańcuchu wartości.

Najwięksi producenci na świecie korzystają z Aras Innovator, aby zarządzać złożonymi cyklami życia produktów, przyspieszać innowacje, poprawiać efektywność operacyjną i szybciej wprowadzać produkty na rynek. Współpracujemy z firmami w niektórych z najbardziej innowacyjnych branż na świecie, w tym motoryzacyjnej, sprzętu przemysłowego, lotnictwa i obrony, technologii wysokiej oraz nauk przyrodniczych.

Aras rozwija swój zespół ds. bezpieczeństwa produktów i poszukuje inżyniera ds. bezpieczeństwa produktów z silnym doświadczeniem w DevOps, aby pomóc zabezpieczyć nasze produkty, platformy chmurowe i cykl życia rozwoju oprogramowania. Ta rola będzie odpowiedzialna za projektowanie, wdrażanie i utrzymywanie bezpiecznych potoków CI/CD, integrację kontroli bezpieczeństwa w całym procesie rozwoju oraz promowanie kultury inżynieryjnej z naciskiem na bezpieczeństwo w zespołach produktowych i chmurowych.

Do obowiązków należy również reagowanie na incydenty, triage znalezionych problemów oraz codzienna komunikacja z zespołem rozwoju produktu. Jako część organizacji ds. bezpieczeństwa produktów, będziesz ściśle współpracować z inżynierami oprogramowania, architektami chmurowymi, zespołami DevOps i interesariuszami ds. bezpieczeństwa, aby identyfikować, priorytetyzować i usuwać ryzyka związane z bezpieczeństwem na dużą skalę. Odegrasz kluczową rolę w podnoszeniu dojrzałości bezpieczeństwa Aras.

Kluczowe obowiązki

• Inżynieria DevSecOps
  • Projektowanie, rozwijanie i utrzymywanie bezpiecznych potoków CI/CD przy użyciu Jenkins, Kubernetes, Azure i technologii chmurowych.
  • Integracja kontroli bezpieczeństwa i automatyzowanych testów bezpieczeństwa w cyklu dostarczania oprogramowania.
  • Wdrażanie i zarządzanie SAST, DAST, SCA, wykrywaniem sekretów, skanowaniem IaC, bezpieczeństwem kontenerów i kontrolami bezpieczeństwa łańcucha dostaw oprogramowania.
  • Napędzanie inicjatyw automatyzacji bezpieczeństwa w celu zmniejszenia wysiłku manualnego i przyspieszenia bezpiecznego dostarczania oprogramowania.
  • Dokumentowanie i weryfikowanie istniejących środków zaradczych w zakresie bezpieczeństwa oraz identyfikowanie, czy dodatkowe środki są wymagane dla naszych produktów.
  • Współpraca z zespołami rozwoju produktu w celu kierowania rozwojem środków zaradczych.
  • Wkład w rozwój i wdrażanie testów bezpieczeństwa oraz protokołów weryfikacji.
  • Pomoc w przeprowadzaniu weryfikacji i walidacji bezpieczeństwa.
• Bezpieczeństwo produktów
  • Współpraca z zespołami produktowymi, rozwojowymi i inżynieryjnymi chmury w celu wbudowania wymagań dotyczących bezpieczeństwa w całym SDLC.
  • Przeprowadzanie przeglądów bezpieczeństwa aplikacji, infrastruktury, potoków CI/CD i architektur wdrożeniowych.
  • Wsparcie w modelowaniu zagrożeń, ocenach ryzyka i przeglądach projektów zabezpieczeń.
  • Pomoc w ustalaniu podstaw bezpieczeństwa, standardów twardnienia i praktyk bezpiecznego wdrażania.
• Inżynieria i współpraca
  • Rozwój rozwiązań automatyzacyjnych przy użyciu Pythona, PowerShell, Bash lub Groovy.
  • Zapewnienie ekspertyzy w Agile.
  • Uczestnictwo w codziennych spotkaniach, planowaniu sprintów, retrospektywach i sesjach projektowych.
  • Ciężka ocena nowych narzędzi, technologii i podejść w celu poprawy efektywności bezpieczeństwa i doświadczenia dewelopera.

Wymagane kwalifikacje

• 4+ lata praktycznego doświadczenia z Jenkins lub podobnymi platformami CI/CD.
• 3+ lata doświadczenia w programowaniu, automatyzacji lub skryptowaniu przy użyciu Pythona, PowerShell, Bash lub równoważnych języków.
• Doświadczenie w integracji narzędzi bezpieczeństwa w potokach CI/CD, w tym SAST, DAST, SCA, skanowanie kontenerów i zarządzanie sekretami.
• Znajomość zasad i usług bezpieczeństwa chmurowego w Azure i/lub AWS.
• Zrozumienie środowisk kontenerowych i koncepcji bezpieczeństwa Kubernetes.
• Doświadczenie w współpracy z zespołami inżynieryjnymi w środowiskach Agile.
• Silne umiejętności analityczne, rozwiązywania problemów i troubleshooting.
• Samodzielność z umiejętnością pracy niezależnie i zarządzania wieloma priorytetami.
• Dyplom licencjata w dziedzinie informatyki, technologii informacyjnej, cyberbezpieczeństwa lub równoważne praktyczne doświadczenie.

Preferowane kwalifikacje

• Doświadczenie z Infrastructure as Code (Terraform, Bicep, CloudFormation).
• Doświadczenie z potokami Azure DevOps i integracjami bezpieczeństwa.
• Znajomość praktyk i ram bezpieczeństwa łańcucha dostaw oprogramowania (SBOM, SLSA, Sigstore, walidacja pochodzenia).
• Doświadczenie w zabezpieczaniu Kubernetes i platform chmurowych.
• Znajomość narzędzi wspomagających rozwój AI i praktyk inżynieryjnych w zakresie bezpieczeństwa AI.
• Znajomość ram bezpieczeństwa, takich jak NIST SSDF, OWASP SAMM, OWASP ASVS i CIS Benchmarks.

Certyfikaty

Jedna lub więcej z następujących certyfikacji jest bardzo pożądana:

• Microsoft Certified: Azure Security Engineer Associate
• Microsoft Certified: DevOps Engineer Expert
• Certified Kubernetes Security Specialist (CKS)
• Certified Kubernetes Administrator (CKA)

Jak wygląda sukces

• Kontrole bezpieczeństwa są płynnie zintegrowane w procesach inżynieryjnych z minimalnym oporem ze strony deweloperów.
• Vulnerabilities są identyfikowane i usuwane wcześniej w SDLC.
• Testy bezpieczeństwa i kontrole zgodności są automatyzowane wszędzie tam, gdzie to możliwe.
• Zespoły produktowe aktywnie przyjmują zasady DevSecOps i bezpieczeństwa w projektowaniu.
• Bezpieczeństwo staje się przyspieszaczem inżynieryjnym, a nie wąskim gardłem wdrożeniowym.