Starszy inżynier bezpieczeństwa oprogramowania

Opis firmyW Motorola Solutions wierzymy, że wszystko zaczyna się od naszych ludzi. Jesteśmy globalną, zwartą społecznością, którą łączy nieustanne dążenie do zapewnienia ludziom bezpieczeństwa na całym świecie. Budujemy i łączymy technologie, które pomagają chronić ludzi, mienie i miejsca.

Nasze rozwiązania wspierają współpracę, która ma kluczowe znaczenie dla bezpieczniejszych społeczności, bezpieczniejszych szkół, bezpieczniejszych szpitali, bezpieczniejszych przedsiębiorstw i ostatecznie bezpieczniejszych narodów. Zdobądź karierę, która ma znaczenie i pomóż nam budować bezpieczniejszą przyszłość.Opis działuStarszy inżynier ds. cyberbezpieczeństwa oprogramowania będzie odpowiedzialny za analizowanie projektów i wdrożeń oprogramowania z punktu widzenia bezpieczeństwa, identyfikowanie i proponowanie rozwiązań problemów związanych z bezpieczeństwem w całym cyklu życia oprogramowania (SDLC). Opis stanowiskaTa rola jest głównie zdalna.

ObowiązkiProjektowanie i wdrażanie zabezpieczeńWykonywanie modelowania zagrożeń, ocen ryzyka i przeglądów architektury w celu identyfikacji i ograniczania ryzyka.Wykonywanie analizy wymagań, audytów bezpieczeństwa i zapewnia szczegółowe zalecenia dotyczące środków łagodzących, specjalnie dla środowisk chmurowych i kontenerowych. Projektuje, przegląda i egzekwuje mechanizmy zarządzania kluczami oraz zarządzania tożsamością i dostępem (IAM). Wspiera zespoły inżynierów w definiowaniu szczegółowych wymagań bezpieczeństwa w celu spełnienia wymogów zgodności i najlepszych praktyk branżowych.

Wykonuje przeglądy kodów bezpieczeństwa w poszukiwaniu potencjalnych luk w zabezpieczeniach. Działa jako ekspert merytoryczny, doradzając i odpowiadając na pytania zespołów inżynieryjnych i ds. zgodności w kwestiach technicznych bezpieczeństwa produktów. Testowanie bezpieczeństwa.

Definiuj i nadzoruj wdrażanie analizy składu oprogramowania. (SCA) do kompilowania SBOM komponentów oprogramowania, pomagając identyfikować znane podatności i naruszenia zgodności z licencjami. Definiowanie i nadzorowanie wdrażania narzędzi do automatycznego testowania bezpieczeństwa w potokach CI, w tym statycznych testów bezpieczeństwa aplikacji (SAST), dynamicznych testów bezpieczeństwa aplikacji (DAST) i narzędzi do skanowania typu Secret Detection.

Wykorzystuj podstawowy poziom wiedzy i doświadczenia w ręcznych testach bezpieczeństwa sieci i aplikacji w celu sprawdzenia poprawności kontroli. Pisz niestandardowe skrypty lub przypadki testów jednostkowych w celu sprawdzenia podatności lub uszkodzone/brakujące mechanizmy kontroli bezpieczeństwa. Polecaj ulepszenia istniejących narzędzi i procesów skanowania bezpieczeństwa oraz proponuj nowe.

Zarządzanie lukami w zabezpieczeniach Zarządzanie lukami w zabezpieczeniach, ze szczególnym naciskiem na infrastrukturę Kubernetes (K8s) i obrazy kontenerów. Okresowo segreguj ustalenia z automatycznych narzędzi do skanowania bezpieczeństwa. Zweryfikuj potencjalne luki w zabezpieczeniach, aby określić, czy są one rzeczywiście pozytywne, czy fałszywie pozytywne (tj. niemające zastosowania) w kontekście produktu.

Jeśli jest to konieczne, napisz exploity sprawdzające koncepcję. Oceń ryzyko luk w zabezpieczeniach i zagrożeń, aby pomóc firmie określić kolejność priorytetów środków zaradczych. Przekaż zidentyfikowane problemy dotyczące bezpieczeństwa inżynierom i stronom zainteresowanym zgodnością oraz zarządzaj nimi w całym procesie SDLC, aby upewnić się, że są właściwie rozwiązane.

Integracja SDLC i DevSecOps Ustanawiaj i utrzymuj standardy bezpiecznego kodowania, podstawowe wymagania dotyczące bezpieczeństwa produktów i bardziej ogólne najlepsze praktyki, aby zapewnić wskazówki zespołom programistycznym. Wsparcie obszaru programu we wdrażaniu bezpieczny potok ciągłej integracji/ciągłego dostarczania (CI/CD) z wykorzystaniem zasad i praktyk DevSecOps w celu zwiększenia automatyzacji. Wdrażaj zautomatyzowane mechanizmy kontroli bezpieczeństwa w ramach potoków CI/CD.

Reagowanie na incydenty i zapewnianie zgodności. Wspieraj procesy reagowania na zdarzenia związane z bezpieczeństwem produktu, w tym analizę głównych przyczyn (identyfikacja komponentów produktu, danych i ogólnego poziomu wpływu, których to dotyczy) oraz definiowanie strategii łagodzenia. Stosowanie zasad inżynierii wykrywania, w tym określanie podstawowych parametrów bezpieczeństwa aplikacji oraz tworzenie/utrzymywanie reguł na poziomie aplikacji. dla IDS/IPS.

Zdefiniuj jasne kryteria i protokoły reakcji na incydenty bezpieczeństwa, w tym utwórz techniczne runbooki. Przeprowadź analizę po incydencie, aby sporządzić listę wyciągniętych wniosków i podjąć środki zapobiegające powtarzaniu się podobnych incydentów, a także udoskonalaj strategie reagowania. Monitoruj pojawiające się zagrożenia bezpieczeństwa, luki w zabezpieczeniach i trendy, aby proaktywnie badać, naprawiać i integrować nowe zabezpieczenia.

Upewnij się, że produkty są zgodne z odpowiednimi normami bezpieczeństwa, certyfikatami i przepisami (np. OWASP, NIST). Podstawowe wymagania Wymagane kwalifikacjeDoświadczenie i wykształcenie Ponad 7 lat doświadczenia w inżynierii bezpieczeństwa ze szczególnym uwzględnieniem bezpieczeństwa produktów i/lub aplikacji.

Licencjat z informatyki, bezpieczeństwa informacji lub pokrewnej dziedziny technicznej. Doświadczenie w kierowaniu zmianami procesów cyberbezpieczeństwa i mentoring w zakresie zasad bezpiecznego projektowania. Współpraca z zespołami inżynierskimi w celu zapewnienia praktyk bezpiecznego kodowania i przyjęcia najlepszych praktyk branżowych.

Proaktywne monitorowanie pojawiających się zagrożeń bezpieczeństwa, podatności i trendy w celu badania, naprawiania i integrowania nowych zabezpieczeń. Ciągłe doskonalenie stanu bezpieczeństwa produktów poprzez identyfikowanie luk i wdrażanie rozwiązań. Umiejętności techniczne.

Rozległa wiedza na temat bezpieczeństwa w chmurze i kontenerach, w tym orkiestracji (np. AWS, Azure, Google Cloud, Docker, Kubernetes). Doświadczenie w zarządzaniu cyklem życia luk w zabezpieczeniach, szczególnie w przypadku infrastruktury chmury i obrazów kontenerów.

Dobra znajomość zarządzania kluczami i kontroli IAM. Udokumentowane doświadczenie w projektowaniu i wdrażaniu programów do modelowania zagrożeń. (np.

STRIDE, PASTA, DREAD). Wyjątkowe umiejętności analityczne i śledcze, z praktycznym doświadczeniem w analizie przyczyn źródłowych. Dogłębna wiedza na temat technik, standardów i najnowocześniejszych technologii uwierzytelniania i autoryzacji, stosowanej kryptografii, luk w zabezpieczeniach i środków zaradczych.

Dobra znajomość protokołów i technologii związanych z siecią (HTTP, REST API), protokołów sieciowych (IP, TCP, UDP) i protokołów bezpieczeństwa (TLS). Znaczące doświadczenie w tworzeniu oprogramowania. Doświadczenie w Go i C#.

Dobra znajomość zasad bezpieczeństwa, najlepszych praktyk i standardów branżowych, takich jak NIST, ISO 27001 i CIS Critical Security Controls, OWASP ASVS i przewodniki testowe. Doświadczenie w projektowaniu i wdrażaniu procesów integrujących narzędzia SCA, SAST, DAST, IAST i RASP w ramach SDLC i zapewnianiu zgodności. Doświadczenie w zakresie potoku CI/CD, integracji narzędzi bezpieczeństwa.

Doświadczenie w definiowaniu i egzekwowaniu bezpieczeństwa technicznego standardy i kontrole.Pożądane kwalifikacjeZaawansowana wiedza specjalistycznaGłęboka analiza podatności, badania i rozwój exploitów w celu potwierdzenia ustaleń.Podstawa w zakresie bezpieczeństwa aplikacji internetowych.Zaawansowane umiejętności ręcznego testowania penetracji w obszarach infrastruktury chmury, aplikacji internetowych, systemów wbudowanych/systemów mobilnych.Pożądana jest znajomość zagadnień bezpieczeństwa systemów AI/ML.Zrozumienie projektowania, wdrażania i działania systemów rozproszonych.Zrozumienie zagrożeń i kontroli prywatności, w tym najlepszych sposobów dostosowania ogólnych praktyki do określonych scenariuszy produktu, dostarczając zainteresowanym stronom szczegółowe specyfikacje.Doświadczenie z SIEM, platformami do gromadzenia i analizy dzienników korporacyjnych (np. Splunk, OSQuery).Wykształcenie i certyfikaty.Preferowany tytuł magistra lub równoważne doświadczenie.Certyfikaty bezpieczeństwa w chmurze są dużym plusem, szczególnie CCAK, CCSP, AWS Certified Security - specjalność.Istotne są również dodatkowe certyfikaty, w tym OSCP, SANS/GIAC, CCSP i CISSP.Umiejętności miękkie i PrzywództwoDoskonała komunikacja werbalna i pisemna, z możliwością tłumaczenia złożonych koncepcji bezpieczeństwa na technicznych i nietechnicznych interesariuszy.Wykazana umiejętność projektowania, dokumentowania i wdrażania nowych procesów bezpieczeństwa.Doświadczenie w szybko rozwijającym się środowisku technologicznym lub w biznesie SaaS.Umiejętność zachowania spokoju pod presją, zwłaszcza podczas incydentów lub audytów.W zamian za Twoją wiedzę specjalistyczną będziemy Cię wspierać w tym nowym wyzwaniu poprzez coaching i rozwój na każdym kroku. Ponadto, aby nagrodzić Twoją ciężką pracę, otrzymasz: Konkurencyjne wynagrodzenie i systemy premiowe Dwa tygodnie dodatkowego wynagrodzenia w roku (dodatek urlopowy).

Prawo do 25 dni urlopu + święta. Atrakcyjny program emerytalny o zdefiniowanej składce.Prywatne ubezpieczenie medyczne.Plan zakupów akcji pracowniczych.Elastyczne opcje pracy. Ubezpieczenie na życie.Wyższa płaca macierzyńska i ojcowska.Wsparcie w rozwoju kariery i szerokie możliwości uczenia się.Wsparcie w zakresie zdrowia i dobrego samopoczucia pracowników, EAP, poradnictwo dotyczące dobrego samopoczucia itp.Inicjatywy/cele neutralne pod względem emisji dwutlenku węgla.Inicjatywy w zakresie społecznej odpowiedzialności biznesu, w tym wsparcie w ramach dni wolontariatu.Program zniżek znanych firm.Wymagania dotyczące podróży Poniżej 10% Zapewniona relokacjaŻadneRodzaj stanowiskaDoświadczonePlan płatności za poleceniaTakFirmaMotorola Solutions UK LimitedEEO Oświadczenie Motorola Solutions jest pracodawcą zapewniającym równe szanse.

Wszyscy wykwalifikowani kandydaci otrzymają wynagrodzenie za zatrudnienie bez względu na rasę, kolor skóry, religię lub przekonania, płeć, orientację seksualną, tożsamość płciową, pochodzenie narodowe, niepełnosprawność, status weterana lub jakąkolwiek inną cechę prawnie chronioną. Jesteśmy dumni z naszej kultury skupiającej się przede wszystkim na ludziach i społeczności, dzięki której każdy Motorola może być najbardziej autentycznym sobą i jak najlepiej pracować, aby spełnić obietnicę bezpieczniejszego świata. Jeśli chcesz dołączyć do naszego zespołu, ale czujesz, że nie spełniasz wszystkich preferowanych umiejętności, nadal chętnie dowiemy się, dlaczego uważasz, że byłbyś świetnym dodatkiem do naszego zespołu.

Oryginalnie opublikowano w Himalayas