Lead Security Engineer in Warsaw

RVS jest częścią S&P Global Market Intelligence, dostarczającą krytyczne dane, spostrzeżenia i analizy dla różnych segmentów klientów na globalnych rynkach finansowych. Zespół inżynierii bezpieczeństwa działa jako wysoko współpracująca, strategiczna jednostka, w której liderzy łączą głęboką wiedzę z zakresu ofensywnego bezpieczeństwa z umiejętnościami biznesowymi, aby proaktywnie identyfikować i łagodzić ryzyka na poziomie przedsiębiorstwa w naszym rozwijającym się portfolio produktów.

Obowiązki i wpływ:

• Przewodzenie i nadzorowanie praktycznych testów penetracyjnych aplikacji i chmury w ramach przypisanych portfeli produktów, koncentrując się na rzeczywistej wykonalności i ryzyku biznesowym, kierując strategią inżynierii bezpieczeństwa w regionie.
• Planowanie, przeprowadzanie i nadzorowanie działań zespołu red team zgodnie z zatwierdzonym zakresem, autoryzacją i zasadami zaangażowania określonymi przez Corporate Offensive Security, zapewniając zgodność zespołu i doskonałość operacyjną.
• Wspieranie przyjęcia technik testowania wspomaganego przez AI (np. inteligentne odkrywanie, fuzzing i analiza) w zespołach bezpieczeństwa w celu poprawy pokrycia, efektywności i jakości testów, ustanawiając najlepsze praktyki.
• Bezpośrednie angażowanie się z seniorami w zakresie produktów i inżynierii, aby wyjaśnić ścieżki ataku, priorytetyzować ustalenia i ułatwiać terminowe, trwałe usunięcie problemów, jednocześnie budując zdolności organizacyjne w zakresie bezpieczeństwa.
• Ustanowienie procesów walidacji skuteczności usunięcia problemów, zapewniając, że ścieżki eksploatacji są całkowicie zamknięte i nie regresują, jednocześnie mentorując członków zespołu w zakresie zaawansowanych technik oceny bezpieczeństwa.
• Przekształcanie ustaleń i działań naprawczych w programy edukacyjne i strategiczne wskazówki, aby wzmocnić proaktywną postawę bezpieczeństwa w zgodzie z zespołami bezpieczeństwa korporacyjnymi i dywizyjnymi, przyczyniając się do standardów ofensywnego bezpieczeństwa przedsiębiorstwa, podręczników i scenariuszy zagrożeń, produkując raporty na poziomie kierownictwa, które komunikują wykonalność, wpływ i status usunięcia problemów.

Czego szukamy:

• 10+ lat doświadczenia w testowaniu penetracyjnym, red teamingu, bezpieczeństwie aplikacji lub inżynierii bezpieczeństwa z udokumentowanym doświadczeniem w zarządzaniu zespołami bezpieczeństwa lub inicjatywami strategicznymi.
• Silna wiedza w zakresie testowania bezpieczeństwa aplikacji webowych, API i chmurowych w różnych środowiskach, w tym scenariuszy związanych z uwierzytelnianiem, autoryzacją i nadużywaniem tożsamości.
• Doświadczenie w testowaniu nowoczesnych architektur, w tym mikroserwisów, platform CI/CD (takich jak Jenkins, GitLab CI lub Azure DevOps), technologii konteneryzacji (takich jak Docker, Kubernetes lub OpenShift) oraz ram bezpieczeństwa SaaS.
• Zaawansowane umiejętności skryptowe i programistyczne w językach programowania (takich jak Python, Go, JavaScript lub podobne technologie) w celu wsparcia rozwoju exploitów, automatyzacji i narzędzi bezpieczeństwa na poziomie przedsiębiorstwa.
• Dogłębna znajomość ram bezpieczeństwa, w tym OWASP Top 10, CWE/SANS Top 25 oraz praktyk bezpiecznego rozwoju z udokumentowaną zdolnością do ustanawiania procesów zarządzania w formalnych programach red team.
• Wyjątkowe umiejętności komunikacji pisemnej i werbalnej z udokumentowaną zdolnością do przekazywania złożonych ryzyk bezpieczeństwa kierownictwu wykonawczemu, zespołom technicznym i interesariuszom biznesowym na wszystkich poziomach organizacyjnych.

Dodatkowe preferencje:

• Zaawansowane certyfikaty z zakresu ofensywnego bezpieczeństwa (takie jak OSCP, OSCE, GXPN, CRTO) lub równoważne doświadczenie zawodowe demonstrujące mistrzostwo w testowaniu penetracyjnym i przywództwie red team.
• Doświadczenie w testowaniu systemów wspomaganych przez AI lub agentów z umiejętnością opracowywania ram oceny bezpieczeństwa dla nowych technologii i kierowania strategiami przyjęcia w organizacji.
• Udokumentowane doświadczenie w modelowaniu zagrożeń i przeglądzie architektury zabezpieczeń, w tym zdolność do wpływania na decyzje dotyczące architektury bezpieczeństwa przedsiębiorstwa i mentorowania zespołów w zakresie zaawansowanych zasad projektowania bezpieczeństwa.
• Udokumentowany sukces w budowaniu i skalowaniu programów bezpieczeństwa w różnych jednostkach biznesowych lub regionach geograficznych z doświadczeniem w prowadzeniu transformacji kultury bezpieczeństwa organizacji.

Korzyści:

• Ochrona zdrowia: Ubezpieczenie zdrowotne zaprojektowane z myślą o umyśle i ciele.
• Elastyczny czas wolny: Hojny czas wolny pomaga utrzymać energię na czas pracy.
• Ciągłe uczenie się: Dostęp do bogactwa zasobów w celu rozwoju kariery i nauki cennych nowych umiejętności.
• Inwestycja w przyszłość: Zabezpiecz swoją przyszłość finansową dzięki konkurencyjnemu wynagrodzeniu, planowaniu emerytalnemu, programowi kształcenia ciągłego z dopasowanym wkładem w pożyczki studenckie oraz programom zdrowia finansowego.
• Korzyści dla rodzin: To nie tylko o Tobie. S&P Global ma korzyści dla Twoich partnerów i dzieci, a także najlepsze w swojej klasie korzyści dla rodzin.
• Poza podstawami: Od zniżek detalicznych po nagrody za polecenia, małe korzyści mogą mieć duże znaczenie.

S&P Global jest pracodawcą równych szans i wszyscy kwalifikowani kandydaci będą brani pod uwagę do zatrudnienia bez względu na rasę/pochodzenie etniczne, kolor skóry, religię, płeć, orientację seksualną, tożsamość płciową, kraj pochodzenia, wiek, niepełnosprawność, stan cywilny, status weterana wojskowego, status bezrobocia lub jakikolwiek inny status chroniony przez prawo.