О компании
В компании Infront мы помогаем крупным банкам и независимым управляющим капиталом и активами принимать более быстрые, умные и соответствующие требованиям инвестиционные решения. На протяжении десятилетий мы находимся в центре финансовой инфраструктуры Европы, предоставляя финансовые данные и инвестиционные инструменты — от интеллектуальных потоков данных до платформ управления капиталом и торговых решений, помогая более чем девяноста тысячам профессионалов уверенно ориентироваться в сложных рынках.
Мы создаём технологии, но движущей силой являются наши люди. Мы поддерживаем инклюзивную рабочую среду, где разнообразные точки зрения стимулируют инновации и результаты, руководствуясь нашими общими ценностями вовлечённости, коммуникации и признания. Вместе мы сотрудничаем, стремимся к инновациям и формируем будущее нашей отрасли, создавая культуру доверия, прозрачности и удовольствия.
Цель роли
Infront разрабатывает и эксплуатирует финансовые технологические продукты для банков и управляющих активами в тринадцати странах, используя технологическую базу, которая выросла за счёт приобретений. Сегодня безопасность встроена в каждый продукт отдельно: шифрование, аутентификация, управление секретами и логирование решаются по-разному в каждом продукте, теми, кто его создавал. Глобальный архитектор безопасности отвечает за то, как безопасность проектируется в продуктах Infront, заменяя этот «лоскутный» подход общими шаблонами, которые команды могут применять и переиспользовать.
Роль находится в инженерном отделе и подчиняется руководителю информационной безопасности по вопросам мандата и стандартов. Она проводит дни с командами, которые создают продукты, участвует в архитектурном форуме, обзорах дизайна и работает вместе с координаторами Security Champions. Успех означает, что новые продукты и значительные изменения изначально безопасны по дизайну.
Обязанности
•Отвечать за эталонные шаблоны безопасности для продуктов Infront: аутентификация и авторизация, шифрование и управление ключами, управление секретами, логирование и телеметрия, а также безопасное взаимодействие сервисов. Публиковать их, поддерживать актуальность и обеспечивать их применение.
•Отвечать за Стандарт безопасной разработки и контрольные точки безопасности в конвейере сборки и развертывания, включая непрерывное сканирование, охватывающее компоненты, встроенные в собственное программное обеспечение Infront, а не только то, что установлено на хостах.
•Проводить моделирование угроз и обзор безопасности дизайна для новых продуктов и значительных изменений, пропорционально риску, и фиксировать результаты для аудита.
•Быть техническим лидером по архитектуре идентификации в рамках всей инфраструктуры: корпоративный поставщик идентификации, платформа аутентификации продуктов и слой авторизации для торговли, включая планирование преемственности для платформ, которые сегодня зависят от одного человека.
•Отвечать за архитектуру безопасности облачной инфраструктуры, охватывающей несколько аккаунтов AWS и арендаторов Azure, а также за границу между общими и изолированными экземплярами платформ.
•Координировать работу Security Champions — одного назначенного инженера на каждую продуктовую область, как сообщество с косвенной подчинённостью: формировать их повестку, предоставлять шаблоны для применения и использовать их для охвата каждой команды.
•Представлять безопасность на архитектурном форуме и в работе по обеспечению безопасности по дизайну в рамках Закона о киберустойчивости, а также переводить регуляторные требования в инженерные решения.
•Обеспечивать вклад на уровне приложений в приоритизацию уязвимостей и определение объёма тестирования на проникновение, чтобы тестирование концентрировалось на общих компонентах, от которых зависят большинство продуктов.
Что вы будете делать в первые шесть месяцев
•Опубликовать первые три эталонных шаблона: шифрование, аутентификация и секреты, и добиться их применения как минимум одной продуктовой командой.
•Внедрить непрерывное сканирование конвейера для встроенных компонентов в приоритетных продуктах с назначенным ответственным за обработку результатов в каждой команде.
•Разработать архитектуру идентификации и план преемственности для платформ аутентификации и авторизации продуктов.
•Создать сообщество Security Champions с назначенным чемпионом в каждой продуктовой области и ежемесячным ритмом встреч.
•Объединить четыре пересекающихся проекта политики безопасной разработки Infront в один стандарт, который инженеры действительно будут использовать.
•Завершить моделирование угроз для пяти общих компонентов, от которых зависят большинство приоритетных продуктов.
Опыт и навыки, обязательные
•Значительный опыт проектирования безопасности в программных продуктах в компании, которая разрабатывает и эксплуатирует собственные платформы, желательно в финансовых технологиях или другой регулируемой SaaS-среде.
•Глубокие практические знания в области безопасности приложений и безопасной разработки: моделирование угроз, безопасное кодирование в соответствии с OWASP, SAST, SCA и сканирование секретов в CI/CD, а также умение добиться их принятия инженерами.
•Архитектура безопасности облака в AWS и Azure, включая управление несколькими аккаунтами, платформы контейнеров и инфраструктуру как код.
•Архитектура идентификации и доступа: корпоративные поставщики идентификации, единый вход (SSO), OAuth и OIDC, а также платформы аутентификации продуктов типа Keycloak.
•Практическое применение криптографии: что использовать, где и как управлять ключами и сертификатами, а не теория.
•Авторитет для влияния на инженеров без прямой власти и умение определить, когда шаблон должен быть обязательным, а когда — рекомендацией.
•Свободное владение английским языком обязательно.
Опыт и навыки, желательные
•Опыт работы в группе, выросшей за счёт приобретений, где одна и та же проблема решалась разными способами, и задача — их объединить.
•Знакомство с DORA и Законом о киберустойчивости в контексте поставщика технологий для финансовых учреждений.
•Безопасность Kubernetes и Kafka в смешанных развертываниях с общими и изолированными компонентами.
•Опыт создания или управления программой Security Champions.
•Знание норвежского, немецкого, французского, итальянского или испанского языков.
Как вы работаете
•Вы предпочитаете выпустить шаблон, который примут три команды, чем документ, который все проигнорируют.
•Вы объясняете решение по безопасности так, чтобы инженер мог его реализовать, а владелец продукта — приоритизировать.
•Вам комфортно быть единственным специалистом по безопасности в комнате, полной разработчиков, и вы превращаете это в своё преимущество.
•Вы знаете разницу между контролем, который должен быть принудительным, и тем, который должен быть удобным, и строите систему соответственно.
Чем эта роль не является
•Это не роль по управлению или политике. Руководитель информационной безопасности отвечает за политику, риски и отчётность; эта роль отвечает за то, как строится безопасность.
•Это не операционная роль. Конечные точки, патчи, обеспечение и мониторинг управляются ITIO и поставщиком управляемого обнаружения; инженер по безопасности их настраивает.
•Это не руководитель инженеров по прямой линии. Security Champions подчиняются своим продуктовым командам; эта роль руководит ими через шаблоны и повестку.
Наше предложение
Хотя наши льготы могут варьироваться в зависимости от вашего местоположения, они обычно включают:
•Здоровье и благополучие: инициативы по улучшению самочувствия, адаптированные к местным потребностям, включая доступ к программе поддержки сотрудников, которая предоставляет конфиденциальную помощь сотрудникам и их семьям.
•Отпуск: конкурентоспособный отпуск, соответствующий местным рынкам.
•Удалённая работа: гибкость работать часть недели из дома с гибким графиком, где это возможно, а также возможность запросить работу до четырёх недель в году из другого места.
•Обучение и развитие: доступ к обучающим ресурсам, регулярные разговоры с руководителем и возможности делиться полученными знаниями с командой.
•Культура и влияние: часть международной команды с мышлением стартапа и ключевая роль в создании значимого влияния.
•Наши офисы: работа из ведущих финансовых центров Европы.
Дополнительные замечания
•Все кандидаты, выбранные для трудоустройства, проходят предварительный скрининг. Этот процесс включает проверку профессиональных рекомендаций и биографии, проводимую сторонним партнёром ZINC.
•Поскольку резюме будет рассматриваться международной командой, просьба предоставить его на английском языке.
•Спонсорство визы для этой позиции не предоставляется, и кандидаты должны иметь право работать в месте найма.
