Senior Application Security Engineer in Katowice

Poszukujemy doświadczonego inżyniera ds. bezpieczeństwa aplikacji, który przejmie odpowiedzialność za bezpieczeństwo w naszym cyklu życia rozwoju oprogramowania (SDLC). W tej roli będziesz ustalać bezpieczne dostarczanie jako domyślną praktykę dla naszych zespołów inżynieryjnych, od projektowania i kodowania po pipeline'y, które to wydają.

Będziesz odpowiedzialny za naszą platformę zarządzania postawą bezpieczeństwa aplikacji (ASPM), Ox Security, i zapewnisz, że jej wyniki przekładają się na skuteczne usuwanie zagrożeń. Obejmuje to redukcję szumów, priorytetyzację podatności, które są rzeczywiście wykonalne oraz bliską współpracę z zespołami inżynieryjnymi w celu ich rozwiązania.

Do Twoich kluczowych obowiązków należy:

• Bezpieczeństwo SDLC i pipeline'ów
• Własność bezpieczeństwa w naszym SDLC i CI/CD, wprowadzając bezpieczne dostarczanie jako domyślną praktykę
• Budowanie i utrzymywanie zabezpieczeń pipeline'ów, w tym statyczne testowanie bezpieczeństwa aplikacji (SAST), analizę składu oprogramowania (SCA), skanowanie sekretów oraz skanowanie obrazów kontenerów, z politykami bramkowymi uzgodnionymi z inżynierią
• Wzmacnianie bezpieczeństwa łańcucha dostaw oprogramowania, w tym higienę zależności, listy materiałów oprogramowania (SBOM) i pochodzenie budowy
• Definiowanie zabezpieczeń chmurowych przed wdrożeniem poprzez politykę jako kod, we współpracy z naszym starszym inżynierem ds. bezpieczeństwa (Cloud & SecOps)
• Zarządzanie podatnościami i ich usuwanie
• Własność Ox Security jako naszej platformy ASPM, w tym dostosowywanie polityki, redukcja szumów i priorytetyzacja wyników na podstawie dostępności i wykonalności
• Napędzanie usuwania zagrożeń z zespołami inżynieryjnymi, uzgadniając umowy SLA dotyczące usuwania z liderami inżynieryjnymi i jasno raportując postępy
• Zakres i koordynacja testów penetracyjnych aplikacji, śledzenie wyników do momentu ich usunięcia
• Bezpieczne projektowanie i wsparcie inżynieryjne
• Prowadzenie modelowania zagrożeń dla nowych funkcji i istotnych zmian architektonicznych
• Przeprowadzanie przeglądów projektów zabezpieczeń i przegląd wysokiego ryzyka zmian kodu
• Promowanie praktyk bezpiecznego kodowania poprzez praktyczne wskazówki, szkolenia i sieć mistrzów bezpieczeństwa w inżynierii
• Zapewnienie klientom, raportowanie i świadomość zagrożeń
• Reprezentowanie bezpieczeństwa naszej platformy z pewnością podczas przeglądów bezpieczeństwa klientów i dyskusji dotyczących należytej staranności, obok szefa bezpieczeństwa informacji
• Utrzymywanie i raportowanie metryk bezpieczeństwa aplikacji, które informują o ryzyku i kluczowych wskaźnikach ryzyka (KRI)
• Wsparcie audytów i działań zapewniających klienta z jasnymi dowodami naszych praktyk bezpiecznego rozwoju i wydania
• Monitorowanie pojawiających się zagrożeń aplikacyjnych i łańcucha dostaw, w tym tych dotyczących AI i zdolności agentów

Wymagane umiejętności i doświadczenie:

• Udokumentowane doświadczenie w zakresie bezpieczeństwa aplikacji, bezpieczeństwa produktów lub DevSecOps, najlepiej w środowisku SaaS (7+ lat)
• Praktyczne doświadczenie w integrowaniu narzędzi bezpieczeństwa w pipeline'ach CI/CD
• Historia przekształcania wyników SAST, SCA, sekretów lub ASPM w priorytetowe, usunięte zadania, a nie tylko surowe raportowanie
• Silne zrozumienie powszechnych klas podatności i OWASP Top 10, z praktyczną wiedzą na temat ich usuwania
• Umiejętność czytania i przeglądania kodu w co najmniej jednym z naszych głównych języków: Java, Ruby lub Python
• Doświadczenie w ułatwianiu modelowania zagrożeń z zespołami inżynieryjnymi
• Znajomość AWS i infrastruktury jako kodu
• Biegłość w Pythonie lub porównywalnym języku skryptowym do automatyzacji
• Wiarygodność wśród programistów, z umiejętnością wpływania na zespoły inżynieryjne i artykułowania ryzyka w działaniach
• Praktyczne doświadczenie z Ox Security lub inną platformą ASPM
• Tło w inżynierii oprogramowania przed przejściem do bezpieczeństwa
• Doświadczenie w zakresie bezpieczeństwa łańcucha dostaw oprogramowania, takie jak poziomy bezpieczeństwa artefaktów oprogramowania (SLSA), SBOM lub podpisywanie artefaktów
• Doświadczenie w zakresie bezpieczeństwa kontenerów i Kubernetes, w tym skanowanie obrazów i kontrole przyjęcia
• Doświadczenie z narzędziami polityki jako kod
• Doświadczenie w ustanawianiu programu mistrzów bezpieczeństwa
• Doświadczenie w zabezpieczaniu dużych modeli językowych (LLM) lub zdolności agentów, takich jak stosowanie OWASP Top 10 dla aplikacji LLM
• Znajomość regulacji i standardów usług finansowych, takich jak Ustawa o cyfrowej odporności operacyjnej (DORA), ISO 27001 i SOC 2
• Odpowiednie certyfikaty zawodowe, takie jak OSWE, GWAPT, CSSLP lub AWS Certified Security – Specialty

Pakiet wynagrodzeń:

• Konkurencyjny pakiet wynagrodzeń dostosowany do Twoich umiejętności i doświadczenia, przeglądany corocznie.
• Premie za udział w sukcesie.
• Prywatna opieka medyczna – Enel Med.
• Ubezpieczenie na życie.
• Program Multisport.
• Nieograniczony urlop roczny, ponieważ ufamy naszym pracownikom w zarządzaniu własnym czasem wolnym.
• Rozszerzone urlopy rodzinne.
• Program wsparcia pracowników.
• 4 dni wolne na wolontariat.
• Premia za polecenie, jeśli zatrudnimy kogoś świetnego, kogo nam poleciłeś.