О роли
Директор по инженерной безопасности отвечает за то, как Instructure строит и эксплуатирует системы безопасно. Роль включает руководство тремя основными направлениями: безопасность продукта, встроенная в команды исследований и разработок (R&D), безопасность облака и инфраструктуры в AWS, а также безопасность искусственного интеллекта (ИИ). Также отвечает за стандарты архитектуры безопасности, управление уязвимостями и безопасность на периферии. Подчиняется CISO.
Обязанности
Безопасность продукта
•Руководить безопасностью продукта: моделирование угроз, обзор дизайна и контроль выпуска. Команда работает внутри команд R&D по косвенной линии.
•Одобрять стандартные запуски продуктов и отвечать за прием результатов пентестов и баг-баунти.
Безопасность облака и инфраструктуры
•Руководить безопасностью облака и инфраструктуры: управление доступом (IAM), защитные меры AWS (guardrails), инфраструктура как код, политика обновлений, ротация секретов, а также привилегированный и неавтоматизированный доступ.
•Отвечать за стандарт WAF и одобрять изменения правил WAF и окна обновлений.
Безопасность ИИ
•Руководить безопасностью ИИ: устанавливать стандарты безопасности для функций ИИ, агентов и сервисов ИИ, которые разрабатывает или интегрирует Instructure.
•Определять меры контроля для предотвращения инъекций запросов (prompt injection), чрезмерных разрешений агентов и злоупотребления инструментами, утечки данных и несанкционированного доступа через RAG и коннекторы.
•Устанавливать процесс приема и оценки рисков сторонних сервисов ИИ, а также управлять рисками теневого ИИ совместно с GRC.
•Включать специфические риски ИИ в моделирование угроз, обзор дизайна и контроль выпуска.
•Работать с архитектором безопасности над эталонными шаблонами ИИ и с GRC по вопросам управления и рисков ИИ.
Архитектура, управление уязвимостями и доставка
•Устанавливать стандарты архитектуры и дизайна безопасности, работая через архитектора безопасности.
•Отвечать за управление уязвимостями: использование Wiz для кода и облака, SLA по командам, исключения и споры.
•Устанавливать стандарты безопасного SDLC и критерии выпуска, включая контрольные точки сканирования кода, совместно с руководителем платформы безопасности и управления уязвимостями.
•Поддерживать технические обзоры безопасности для клиентов, работая с GRC.
•Выполнять обязательства по инженерной безопасности согласно плану и отслеживать их выполнение совместно с вице-президентом по инженерии.
•Нанимать, руководить и развивать команду, а также составлять описания должностей для ролей в команде.
Критерии успеха
•Новые функции в зоне ответственности, включая функции ИИ, проходят обзор дизайна безопасности перед выпуском.
•Ежемесячно руководителям инженерных команд предоставляется отчет о выполнении SLA по уязвимостям, с эскалацией просроченных задач в адрес ответственного вице-президента.
•Обязательства по инженерной безопасности выполняются в установленные сроки.
•Вакантные позиции в инженерной безопасности заполняются в запланированные сроки.
•Расходы на инженерную безопасность управляются в рамках бюджета.
•Покрытие безопасности продукта, скорость устранения и количество пропущенных дефектов отчетны ежеквартально.
•У каждого члена команды есть письменный план развития, который пересматривается ежеквартально.
Требования
•Более 10 лет опыта в инженерной безопасности, включая более 5 лет руководства командами безопасности.
•Опыт руководства командами безопасности продукта и облачной безопасности, с практическими знаниями облачных сред.
•Практические знания рисков безопасности ИИ и больших языковых моделей (LLM), таких как инъекции запросов, злоупотребление агентами и утечка данных, а также знакомство с фреймворками, такими как OWASP Top 10 для приложений LLM и NIST AI RMF.
•Опыт влияния на старших инженерных руководителей в вопросах дизайна и оценки рисков.
•Опыт работы в SaaS, желательно с регулируемыми данными, такими как образовательные записи (FERPA, COPPA).
Что предлагает компания
•Конкурентоспособная оплата труда, а также участие всех штатных сотрудников в программе владения компанией.
•Гибкая рабочая культура: удалённые, гибридные и офисные пространства для сотрудничества варьируются в зависимости от роли, команды и местоположения.
•Щедрый отпуск, включая местные праздники и ежегодный период «Dim the Lights» в конце декабря, когда команды поощряются к отдыху и восстановлению сил в зависимости от потребностей отдела.
•Комплексные программы оздоровления и поддержки психического здоровья.
•Ресурсы для обучения и развития, включая инструменты профессионального развития и возмещение стоимости обучения.
•Технологии и инструменты, необходимые для выполнения работы.
•Программа признания сотрудников Motivosity.
•Культура, основанная на инклюзивности, поддержке и значимых связях.
