Staff Product Security Engineer in Warsaw

Poszukujemy Senior Product Security Engineer, który rozszerzy nasze możliwości w zakresie bezpieczeństwa produktów, koncentrując się na ciągłym odkrywaniu i zapobieganiu lukom w zabezpieczeniach. Ta rola odpowiada za budowanie i wykonywanie testów regresyjnych bezpieczeństwa, prowadzenie modelowania zagrożeń dla istniejącej i nowej funkcjonalności, przeprowadzanie ukierunkowanych działań z zakresu bezpieczeństwa ofensywnego (testy w stylu Red Team) oraz identyfikowanie rzeczywistych luk w zabezpieczeniach na podstawie głębokiego zrozumienia naszej platformy oraz OWASP Top 10 Web Application Security Risks.

Kluczowe obowiązki:

• Testy regresyjne bezpieczeństwa:
  • Projektowanie i utrzymywanie zestawów testów regresyjnych bezpieczeństwa obejmujących krytyczne przepływy aplikacji.
  • Zapewnienie, że luki, po naprawieniu, są trwale eliminowane.
  • Integracja testów regresyjnych bezpieczeństwa w CI/CD.
  • Definiowanie celów pokrycia dla obszarów krytycznych dla bezpieczeństwa (autoryzacja, kontrola dostępu, API, przepływy danych).
• Modelowanie zagrożeń:
  • Prowadzenie strukturalnych sesji modelowania zagrożeń dla istniejących komponentów systemu oraz nowych funkcji i zmian architektonicznych.
  • Identyfikacja powierzchni ataku, przypadków nadużyć i granic zaufania.
  • Tłumaczenie zagrożeń na przypadki testowe, wymagania dotyczące bezpieczeństwa oraz plany łagodzenia.
  • Zapewnienie, że modelowanie zagrożeń staje się ciągłą aktywnością cyklu życia.
• Bezpieczeństwo ofensywne / Działania Red Team:
  • Przeprowadzanie ręcznych i automatycznych testów bezpieczeństwa symulujących zachowanie rzeczywistego atakującego.
  • Skupienie na lukach o wysokim wpływie, a nie teoretycznych ustaleniach.
  • Walidacja wykonalności i wpływu na biznes.
  • Współpraca z zespołami inżynieryjnymi w celu reprodukcji problemów, priorytetyzacji poprawek oraz walidacji usunięcia luk.
• Odkrywanie luk opartych na OWASP Top 10:
  • Ciągła ocena platformy w odniesieniu do kategorii OWASP Top 10.
  • Wykorzystanie głębokiej wiedzy o produkcie do znajdowania nieoczywistych, kontekstowych luk w zabezpieczeniach.
  • Wykraczanie poza narzędzia (DAST/SAST) w celu odkrywania błędów logicznych i ścieżek nadużyć.
• Zapewnienie bezpieczeństwa dla zmian w produkcie:
  • Przegląd nowych funkcji i zmian pod kątem ryzyk bezpieczeństwa.
  • Zapewnienie, że wszystkie zmiany są modelowane pod kątem zagrożeń i objęte testami regresyjnymi.
  • Działanie jako brama bezpieczeństwa bez tworzenia wąskich gardeł.
  • Umożliwienie zespołom korzystania z wskazówek i narzędzi, unikając dużego obciążenia procesowego.
• Współpraca i wsparcie:
  • Ścisła współpraca z zespołami inżynieryjnymi, architekturą oraz zespołami SRE/platformowymi.
  • Wkład w praktyki projektowania z myślą o bezpieczeństwie.
  • Wsparcie programistów w rozumieniu i naprawianiu luk w zabezpieczeniach.
  • Pomoc w skalowaniu bezpieczeństwa poprzez wzorce wielokrotnego użytku oraz automatyzację.

Wymagane kwalifikacje:

• 5+ lat doświadczenia w zakresie bezpieczeństwa aplikacji/produktów.
• Dyplom licencjata lub równoważne 12-letnie doświadczenie zawodowe.
• Silne doświadczenie praktyczne w zakresie testowania bezpieczeństwa aplikacji internetowych, bezpieczeństwa API oraz metodologii modelowania zagrożeń.
• Głębokie zrozumienie OWASP Top 10.
• Doświadczenie w zakresie ręcznego testowania penetracyjnego, testowania regresyjnego bezpieczeństwa oraz integracji bezpieczeństwa w CI/CD.
• Umiejętność identyfikacji luk w logice biznesowej.
• Silne zrozumienie autoryzacji, zarządzania sesjami oraz architektur wielodostępnych.
• Znajomość systemów chmurowych.

Preferowane kwalifikacje:

• Doświadczenie w platformach SaaS/multi-tenant.
• Znajomość programów bug bounty.
• Doświadczenie w zakresie red teamingu oraz automatyzacji bezpieczeństwa.
• Znajomość AWS oraz systemów tożsamości i federacji (SSO, MFA).
• Tło w inżynierii oprogramowania (umiejętność czytania/pisania kodu).

Renesas Electronics jest pracodawcą oferującym równe szanse i działającym na rzecz afirmacji, zobowiązującym się do wspierania różnorodności i promowania środowiska pracy wolnego od dyskryminacji ze względu na płeć, rasę, religię, narodowość, płeć, tożsamość płciową, ekspresję płciową, wiek, orientację seksualną, status wojskowy, status weterana lub jakąkolwiek inną podstawę chronioną prawem. Więcej informacji można znaleźć w naszym Oświadczeniu o różnorodności i integracji.