Lead Security Engineer in Gdańsk

O zespole: Usługi Ryzyka i Wyceny (RVS) są częścią S&P Global Market Intelligence, dostarczając krytyczne dane, spostrzeżenia i analizy dla różnych segmentów klientów na globalnych rynkach finansowych. Nasz zespół inżynierii bezpieczeństwa działa jako wysoko współpracująca, strategiczna jednostka, w której liderzy łączą głęboką wiedzę z zakresu ofensywnego bezpieczeństwa z umiejętnościami biznesowymi, aby proaktywnie identyfikować i łagodzić ryzyka na poziomie przedsiębiorstwa w naszym rozwijającym się portfolio produktów.

Obowiązki i wpływ:

• Prowadzenie i nadzorowanie praktycznych testów penetracyjnych aplikacji i chmury w ramach przypisanych portfeli produktów, koncentrując się na rzeczywistej wykonalności i ryzyku biznesowym, kierując strategią inżynierii bezpieczeństwa w regionie.
• Planowanie, przeprowadzanie i nadzorowanie działań zespołu red team zgodnie z zatwierdzonym zakresem, autoryzacją i Zasadami Zaangażowania określonymi przez Corporate Offensive Security, zapewniając zgodność zespołu i doskonałość operacyjną.
• Wspieranie przyjęcia technik testowania wspomaganego przez AI (np. inteligentne odkrywanie, fuzzing i analiza) w zespołach bezpieczeństwa w celu poprawy pokrycia, efektywności i jakości testowania, ustanawiając najlepsze praktyki.
• Bezpośrednie angażowanie się z seniorami w zakresie produktów i inżynierii, aby wyjaśnić ścieżki ataku, priorytetyzować ustalenia i ułatwiać terminowe, trwałe usunięcie problemów, jednocześnie budując zdolności organizacyjne w zakresie bezpieczeństwa.
• Ustanowienie procesów walidacji skuteczności usunięcia problemów, zapewniając, że ścieżki eksploatacji są całkowicie zamknięte i nie regresują, jednocześnie mentorując członków zespołu w zakresie zaawansowanych technik oceny bezpieczeństwa.
• Przekształcanie ustaleń i działań naprawczych w programy edukacyjne i strategiczne wskazówki, aby wzmocnić proaktywną postawę bezpieczeństwa w zgodzie z zespołami bezpieczeństwa korporacyjnymi i dywizyjnymi, przyczyniając się do standardów ofensywnego bezpieczeństwa przedsiębiorstwa, podręczników i scenariuszy zagrożeń, produkując raporty na poziomie kierowniczym, które komunikują wykonalność, wpływ i status usunięcia problemów dla wyższej kadry kierowniczej.

Wymagania podstawowe:

• 5+ lat doświadczenia w testowaniu penetracyjnym, red teamingu, bezpieczeństwie aplikacji lub inżynierii bezpieczeństwa z udokumentowanym doświadczeniem w zarządzaniu zespołami bezpieczeństwa lub inicjatywami strategicznymi.
• Silna wiedza w zakresie testowania bezpieczeństwa aplikacji webowych, API i chmurowych w różnych środowiskach, w tym scenariuszy związanych z uwierzytelnianiem, autoryzacją i nadużywaniem tożsamości, z umiejętnością projektowania kompleksowych programów oceny bezpieczeństwa.
• Doświadczenie w testowaniu nowoczesnych architektur, w tym mikroserwisów, platform CI/CD (takich jak Jenkins, GitLab CI lub Azure DevOps), technologii konteneryzacji (takich jak Docker, Kubernetes lub OpenShift) oraz ram bezpieczeństwa SaaS.
• Zaawansowane umiejętności skryptowe i programistyczne w językach programowania (takich jak Python, Go, JavaScript lub podobne technologie) w celu wsparcia rozwoju exploitów, automatyzacji i narzędzi bezpieczeństwa na poziomie przedsiębiorstwa.
• Głęboka znajomość ram bezpieczeństwa, w tym OWASP Top 10, CWE/SANS Top 25 oraz praktyk bezpiecznego rozwoju z udowodnioną zdolnością do ustanawiania procesów zarządzania w formalnych programach red team.
• Wyjątkowe umiejętności komunikacji pisemnej i werbalnej z udokumentowaną zdolnością do przekazywania złożonych ryzyk bezpieczeństwa kierownictwu wykonawczemu, zespołom technicznym i interesariuszom biznesowym na wszystkich poziomach organizacyjnych.

Dodatkowe preferowane kwalifikacje:

• Zaawansowane certyfikaty z zakresu ofensywnego bezpieczeństwa (takie jak OSCP, OSCE, GXPN, CRTO) lub równoważne doświadczenie zawodowe demonstrujące mistrzostwo w testowaniu penetracyjnym i przywództwie red team.
• Doświadczenie w testowaniu systemów wspomaganych przez AI lub agentów z umiejętnością opracowywania ram oceny bezpieczeństwa dla nowych technologii i kierowania strategiami przyjęcia w organizacji.
• Udokumentowane doświadczenie w modelowaniu zagrożeń i przeglądzie architektury zabezpieczeń, w tym zdolność do wpływania na decyzje dotyczące architektury bezpieczeństwa przedsiębiorstwa i mentorowania zespołów w zakresie zaawansowanych zasad projektowania bezpieczeństwa.
• Udokumentowany sukces w budowaniu i skalowaniu programów bezpieczeństwa w różnych jednostkach biznesowych lub regionach geograficznych z doświadczeniem w prowadzeniu transformacji kultury bezpieczeństwa organizacji.