Senior Application Security Engineer

Program globalnej bezpieczeństwa aplikacji PepsiCo integruje bezpieczeństwo w procesie rozwoju oprogramowania na poziomie przedsiębiorstwa. Naszą misją jest uczynienie ryzyk związanych z bezpieczeństwem aplikacji widocznymi, wykonalnymi i mierzalnymi, aby mogły być skutecznie usuwane.

Około 80% tej roli koncentruje się na bezpieczeństwie aplikacji internetowych i API. Inżynier będzie konfigurować, dostosowywać, walidować i obsługiwać narzędzia bezpieczeństwa, takie jak skanery SAST/SCA/Secret/DAST; ręcznie analizować wyniki; przeprowadzać ukierunkowane przeglądy bezpieczeństwa; integrować skanowanie w przepływach pracy deweloperów poprzez rozwój niestandardowy; oraz zarządzać wynikami poprzez centralne procesy zarządzania ustaleniami.

Inżynier będzie również wspierać rozwój i działanie automatyzacji backendowej, która inicjuje skany, monitoruje status skanów, przetwarza i normalizuje wyniki, zarządza awariami i ponownymi próbami oraz kieruje ustaleniami do przedsiębiorstwowych przepływów zarządzania podatnościami. Pozostała część może wspierać narzędzia bezpieczeństwa aplikacji mobilnych i integracje w razie potrzeby. Znajomość przeglądów bezpieczeństwa aplikacji mobilnych i odpowiednich narzędzi jest preferowana, ale nie wymagana.

Obowiązki

• Konfigurowanie, dostosowywanie, administrowanie i utrzymywanie narzędzi bezpieczeństwa skanowania SAST/SCA/Secret/DAST i API.
• Ręczne analizowanie ustaleń bezpieczeństwa, reprodukowanie reprezentatywnych problemów, określanie możliwości wykorzystania, identyfikowanie fałszywych pozytywów, ocena wpływu na biznes i dostarczanie praktycznych wskazówek dotyczących usuwania.
• Przeprowadzanie ukierunkowanych manualnych przeglądów bezpieczeństwa aplikacji internetowych i API, w tym testowanie uwierzytelniania, autoryzacji, zarządzania sesjami, walidacji danych, logiki biznesowej i testowania kontroli dostępu.
• Rozwój, testowanie, dostosowywanie i utrzymywanie reguł SAST, polityk, pakietów reguł, mapowań powagi, wyłączeń i bram jakości zgodnych z normami organizacyjnymi.
• Integracja skanowania bezpieczeństwa w kontrolach źródłowych, pull-requestach, budowie, CI/CD, wydaniach, systemach ticketowych i przepływach pracy deweloperów przy użyciu komponentów pipeline, API, webhooków i automatyzacji.
• Rozwój i wsparcie zautomatyzowanych systemów skanowania backendowego, które onboardują aplikacje, inicjują skany, śledzą stan skanów, zarządzają kolejkami i ponownymi próbami, przetwarzają wyniki, normalizują ustalenia i kierują dane do systemów downstream.
• Integracja ustaleń w centralnych platformach bezpieczeństwa aplikacji, zarządzania podatnościami lub ASPM, w tym normalizacja, korelacja, deduplikacja, wzbogacanie, mapowanie własności, tłumienie, zarządzanie wyjątkami i synchronizacja stanu.
• Ustanowienie priorytetów opartych na ryzyku i przepływów pracy dotyczących usuwania, które uwzględniają możliwość wykorzystania, ekspozycję aplikacji, wrażliwość danych, krytyczność aktywów, kontrolę kompensacyjną i wpływ na biznes.
• Współpraca z deweloperami, zespołami produktowymi, inżynierami DevOps, właścicielami platform i interesariuszami bezpieczeństwa w celu rozwiązania ustaleń, poprawy doświadczenia dewelopera i wdrożenia praktycznych zabezpieczeń.
• Monitorowanie zdrowia skanera i integracji, w tym wskaźników sukcesu skanów, kolejek zadań, runnerów, łączności, uwierzytelniania, limitów czasowych, pojemności, licencjonowania, logów i niezawodności usług.
• Ocena nowych narzędzi i możliwości bezpieczeństwa aplikacji poprzez dowody koncepcji, testy porównawcze, karty ocen technicznych, analizy jakości detekcji, oceny integracji i przeglądy dopasowania operacyjnego.
• Rozwój i utrzymanie standardów testowania bezpieczeństwa, wzorców integracji, dokumentacji technicznej, przewodników po onboardingu, runbooków operacyjnych, procedur rozwiązywania problemów i wskazówek dotyczących usuwania dla deweloperów.
• Rozwój metryk i KPI dla onboardingu aplikacji, pokrycia skanów, adopcji przepływów pracy, sukcesu skanów, czasu wykonania, jakości ustaleń, wskaźników fałszywych pozytywów, wydajności usuwania i niezawodności platformy.
• W razie potrzeby wsparcie narzędzi bezpieczeństwa aplikacji mobilnych i integracji, w tym ograniczonej analizy ustaleń i automatyzacji backendowej do inicjowania skanów, przetwarzania wyników i integracji w pipeline CI/CD.
• Udział w działaniach rozwoju Agile oraz odpowiedniej rotacji wsparcia platformy lub dyżurze, w tym w weekendy i święta, jeśli to konieczne.

Wymagania

• Wykształcenie wyższe w dziedzinie informatyki, inżynierii lub pokrewnej dziedziny technicznej, z 3-5-letnim doświadczeniem zawodowym w zakresie bezpieczeństwa aplikacji, inżynierii bezpieczeństwa, bezpiecznego rozwoju oprogramowania lub zarządzania podatnościami.
• Doświadczenie w konfigurowaniu, dostosowywaniu, administrowaniu lub integrowaniu narzędzi bezpieczeństwa aplikacji w środowiskach rozwoju przedsiębiorstw.
• Doświadczenie w konfigurowaniu i dostosowywaniu platform SAST/SCA/Secrets, w tym polityk, reguł, pakietów reguł, wyłączeń, mapowań powagi, bram jakości i integracji CI/CD.
• Doświadczenie w konfigurowaniu i obsłudze platform DAST, w tym skanowania uwierzytelnionego, konfiguracji skanowania, polityk skanowania, harmonogramów, zarządzania zakresem i walidacji ustaleń.
• Doświadczenie w ręcznym analizowaniu ustaleń bezpieczeństwa SAST/SCA/Secrets/DAST i API, reprodukcji reprezentatywnych problemów, identyfikowaniu fałszywych pozytywów, ocenie możliwości wykorzystania i dostarczaniu wskazówek dotyczących usuwania.
• Doświadczenie w przeprowadzaniu ukierunkowanych przeglądów bezpieczeństwa aplikacji internetowych i API przy użyciu narzędzi takich jak Burp Suite, Postman, curl, narzędzia dewelopera przeglądarki lub porównywalne technologie.
• Silne zrozumienie OWASP Top 10 i powszechnych luk w zabezpieczeniach aplikacji internetowych, w tym wstrzyknięć, cross-site scripting, złamania kontroli dostępu, słabości uwierzytelniania, SSRF, niebezpiecznej deserializacji, błędów w konfiguracji bezpieczeństwa i ujawnienia wrażliwych danych.
• Silne zrozumienie OWASP API Security Top 10, w tym BOLA/IDOR, złamania uwierzytelniania, błędy autoryzacji, nieograniczone zużycie zasobów, masowe przypisanie, słabości w zarządzaniu zapasami i niebezpieczne korzystanie z API.
• Znajomość technologii uwierzytelniania i autoryzacji API, w tym OAuth 2.0, OpenID Connect, JWT, kluczy API, kont serwisowych, kontroli dostępu opartej na rolach i zarządzania sesjami.
• Doświadczenie w przeglądaniu kodu aplikacji napisanego w jednym lub więcej językach, takich jak Java, JavaScript, TypeScript, Python, Go, C# lub porównywalnych językach rozwoju przedsiębiorstw.
• Biegłość w Pythonie i/lub Go w zakresie automatyzacji bezpieczeństwa, integracji API, przetwarzania danych, orkiestracji skanów, niestandardowej walidacji i rozwoju usług backendowych.
• Doświadczenie w budowaniu lub wspieraniu automatyzacji backendowej przy użyciu REST API, webhooków, workerów, kolejek, baz danych, harmonogramów, ponownych prób, limitów czasowych i wzorców przetwarzania asynchronicznego.
• Doświadczenie w integrowaniu narzędzi bezpieczeństwa w platformach CI/CD, takich jak GitHub Actions, GitLab CI/CD, Azure DevOps, Jenkins, CircleCI lub równoważnych technologiach.
• Doświadczenie z centralnym zarządzaniem ustaleniami, ASPM lub platformami zarządzania podatnościami, w tym w zakresie wchłaniania ustaleń, normalizacji, korelacji, deduplikacji, routingu własności, śledzenia cyklu życia, zarządzania wyjątkami i raportowania.
• Doświadczenie w zarządzaniu stanem ustaleń w wielu narzędziach i systemach, w tym w zakresie statusu usuwania, decyzji o tłumieniu, akceptacji ryzyka, logiki ponownego otwierania, śledzenia SLA i dwukierunkowej synchronizacji.
• Doświadczenie z SAST, DAST, SCA, wykrywaniem sekretów, bezpieczeństwem API, SBOM, bezpieczeństwem kontenerów i pokrewnymi kontrolami łańcucha dostaw oprogramowania.
• Doświadczenie w obsłudze i rozwiązywaniu problemów z narzędziami bezpieczeństwa, w tym aktualizacjami platformy, uwierzytelnianiem, łącznością, pojemnością runnerów, awariami skanów, limitami czasowymi, logami, kontrolą dostępu, licencjonowaniem i przechowywaniem danych.
• Doświadczenie z platformami chmurowymi i kontenerowymi, takimi jak AWS, Azure, GCP, Docker lub Kubernetes, używanymi do hostowania, skalowania lub integrowania narzędzi bezpieczeństwa.
• Znajomość bezpiecznego zarządzania poświadczeniami, uwierzytelniania między usługami, kontroli dostępu opartej na rolach, szyfrowania, zarządzania certyfikatami, rejestrowania audytów i ochrony danych dla platform bezpieczeństwa.
• Znajomość baz danych, strukturalnych formatów danych i technologii integracyjnych, takich jak SQL, JSON, SARIF, REST API, strumienie zdarzeń lub kolejki wiadomości.
• Doświadczenie w tworzeniu dokumentacji technicznej, wzorców integracji, przewodników po onboardingu, runbooków operacyjnych, procedur rozwiązywania problemów i wskazówek dotyczących usuwania dla deweloperów.

Umiejętności nietechniczne

• Silne umiejętności komunikacji pisemnej i werbalnej.
• Wysoka integralność z dobrym osądem i odpowiedzialnością.
• Doskonale rozwinięte umiejętności analityczne, rozwiązywania problemów i myślenia krytycznego.
• Samodzielność, ciekawość i zaangażowanie w ciągłe uczenie się, w tym gotowość do zdobywania wiedzy w zakresie bezpieczeństwa aplikacji mobilnych.
• Silne umiejętności współpracy, budowania relacji i wpływania na innych.
• Komfort w pracy w szybkim, globalnym środowisku z zmieniającymi się priorytetami i niepewnością.
• Umiejętność efektywnego działania pod presją.

Zachowania różnicujące

• Demonstracja ciekawości, innowacyjności i nastawienia na ciągłe doskonalenie, w tym gotowość do rozwijania wiedzy w zakresie bezpieczeństwa aplikacji mobilnych.
• Podejmowanie rozsądnych decyzji poprzez równoważenie technicznych, biznesowych i operacyjnych kompromisów.
• Utrzymywanie spokoju, organizacji i metodyczności w sytuacjach wysokiego ciśnienia.
• Efektywne priorytetyzowanie pracy i zarządzanie konkurencyjnymi zobowiązaniami.