Application Security Engineer

Poszukujemy inżyniera ds. bezpieczeństwa aplikacji (F/M), który dołączy do naszego zespołu inżynieryjnego i pomoże nam wbudować bezpieczeństwo w cykl życia rozwoju oprogramowania. Ta rola to okazja do wyjścia poza tradycyjne zarządzanie lukami w zabezpieczeniach i wprowadzenia proaktywnego podejścia do bezpieczeństwa aplikacji.

Twoje obowiązki:

• Właściciel i ciągłe doskonalenie postawy bezpieczeństwa aplikacji wewnętrznie rozwijanych rozwiązań, zapewniając, że bezpieczeństwo jest wbudowane w cały cykl życia rozwoju oprogramowania (SDLC).
• Monitorowanie, ocena, priorytetyzacja i zarządzanie lukami w zabezpieczeniach aplikacji zidentyfikowanymi poprzez testy penetracyjne, SAST, DAST, skanowanie zależności, programy bug bounty oraz inne działania oceny bezpieczeństwa, zapewniając usunięcie w ustalonych SLA.
• Analiza wyników bezpieczeństwa w celu określenia ryzyka biznesowego, wymagań dotyczących usunięcia i fałszywych pozytywów, dostarczając jasne uzasadnienie techniczne dla wszystkich decyzji.
• Projektowanie, rekomendowanie i wdrażanie długoterminowych, skalowalnych kontroli bezpieczeństwa i automatyzacji w celu zmniejszenia powtarzających się luk, minimalizacji interwencji manualnej i poprawy efektywności usuwania w zespołach deweloperskich.
• Wprowadzanie podejścia shift-left w zakresie bezpieczeństwa poprzez integrację automatycznych testów bezpieczeństwa, egzekwowanie polityk i praktyki bezpiecznego rozwoju w CI/CD oraz procesach inżynieryjnych.
• Identyfikowanie powtarzających się wzorców luk i wdrażanie zapobiegawczych kontroli, bezpiecznych ram, standardów kodowania i zasad ochrony deweloperów, które eliminują klasy luk u źródła.
• Pełnienie roli głównego łącznika z zewnętrznymi dostawcami testów penetracyjnych, zapewniając, że oceny bezpieczeństwa są realizowane w odpowiednim czasie, a wyniki są wykonalne, oparte na ryzyku i zgodne z priorytetami biznesowymi.
• Współpraca z zespołami ds. bezpieczeństwa grupy w celu utrzymania jednego źródła prawdy dla luk, konsultowanie, uzgadnianie ocen ryzyka i rozwiązywanie sporów dotyczących wymagań dotyczących usunięcia lub fałszywych wyników.
• Zapewnienie fachowych wskazówek dotyczących zabezpieczania nowoczesnych aplikacji internetowych, API, mechanizmów uwierzytelniania i architektur chmurowych, ze szczególnym uwzględnieniem rozwiązań .NET i Angular.
• Działanie jako ekspert w dziedzinie bezpieczeństwa aplikacji dla organizacji Solution Delivery, promując zasady bezpiecznego projektowania i praktyki bezpieczeństwa domyślnego na wszystkich etapach dostarczania rozwiązań.
• Utrzymywanie i doskonalenie standardów bezpiecznego rozwoju, polityk bezpieczeństwa aplikacji i procesów inżynieryjnych zgodnie z OWASP, NIST i najlepszymi praktykami branżowymi.
• Proaktywne monitorowanie pojawiających się zagrożeń, trendów OWASP Top 10, technik ataków i innowacji w narzędziach bezpieczeństwa, zapewniając, że organizacja pozostaje przed ewoluującymi ryzykami bezpieczeństwa aplikacji.
• Dostarczanie świadomości bezpieczeństwa i wskazówek dotyczących bezpiecznego kodowania dla deweloperów, liderów technicznych, architektów i zespołów dostarczających, aby poprawić dojrzałość bezpieczeństwa organizacji.
• Aktualizowanie informacji na temat postawy bezpieczeństwa aplikacji, trendów luk, wydajności usuwania i inicjatyw redukcji ryzyka dla forów zarządzających i grup sterujących, dostarczając dane i rekomendacje oparte na danych.

Wymagania:

• Silna praktyczna wiedza na temat OWASP Top 10 i powszechnych wektorów ataków na aplikacje internetowe.
• Dogłębne zrozumienie zabezpieczania nowoczesnych aplikacji internetowych, REST API, mechanizmów uwierzytelniania i autoryzacji (OAuth2, OIDC, JWT).
• Doświadczenie w implementacji i zarządzaniu programami SAST, DAST, SCA, bezpieczeństwa API i testów penetracyjnych.
• Doświadczenie w automatyzacji kontroli bezpieczeństwa w ramach procesów CI/CD i dostarczania oprogramowania.
• Silna wiedza na temat praktyk inżynierii oprogramowania zabezpieczonego i zasad bezpiecznego projektowania.
• Umiejętność identyfikacji strategicznych ulepszeń bezpieczeństwa, a nie skupiania się wyłącznie na usuwaniu luk.
• Silne umiejętności zarządzania interesariuszami, z umiejętnością wpływania na zespoły deweloperskie, architektów i funkcje bezpieczeństwa.
• Wysoka motywacja, entuzjazm i zdolność do pracy zarówno samodzielnie, jak i w zespole.
• Wyjątkowe umiejętności analityczne i rozwiązywania problemów, z dbałością o szczegóły i podejściem skoncentrowanym na biznesie.
• Silne umiejętności interpersonalne, z umiejętnością wpływania na decyzje techniczne i skutecznej komunikacji w szybkim tempie.
• Wykazuje kreatywność i pomysłowość w prezentowaniu rozwiązań złożonych wyzwań związanych z bezpieczeństwem.

Co oferujemy:

• Możliwości rozwoju osobistego w międzynarodowym środowisku.
• Pracę z nowoczesnymi technologiami i stałą okazję do nauki czegoś nowego.
• Pracę w języku angielskim na co dzień.
• Elastyczne godziny pracy i możliwość pracy zdalnej (hybrydowa praca).
• Pracę w dobrej atmosferze, wspierających zespołach, wśród pracowników, którzy chętnie dzielą się swoją wiedzą, m.in. w ramach wewnętrznych inicjatyw rozwojowych, konferencji w Polsce, szkoleń zewnętrznych, platform e-learningowych w branży, szkoleń wewnętrznych oraz merytorycznego wsparcia od liderów technologicznych, wymiany wiedzy technicznej w firmie.