Обратите внимание
Мы не можем рассматривать заявки от кандидатов, проживающих во Франции, Италии или Германии, на эту должность.
О компании
Деньги переходят в интернет, и этот сдвиг получил название: Открытые деньги. Это деньги, которые открыты, портативны, автономны и принадлежат вам. MetaMask потратила последние десять лет на их создание; с более чем 100 миллионами загрузок, пользователями примерно в 190 странах и триллионами в совокупном объёме транзакций, это самая надёжная финансовая платформа с самостоятельным хранением в интернете. Сейчас мы создаём операционную систему для ваших денег: одно место, где можно хранить, перемещать, приумножать и использовать всё, что вы владеете. Присоединяйтесь к глобальной команде с приоритетом удалённой работы, которая перестраивает работу денег — проблему, затрагивающую каждого, каждый день.
О роли
MetaMask — это кошелёк с самостоятельным хранением, который не хранит приватные ключи пользователей. Транзакции в блокчейне, как правило, необратимы, что означает, что уязвимость в продукте или цепочке поставок программного обеспечения может привести напрямую к финансовым потерям пользователей. В результате MetaMask привлекает постоянное внимание со стороны злоумышленников с финансовой мотивацией и сложных участников цепочки поставок.
Мы ищем старшего менеджера по безопасности приложений, который будет руководить безопасностью приложений в расширении MetaMask, мобильном приложении, Snaps, бэкенд-сервисах, DeFi-примитивах, стейблкоинах и поддерживающих смарт-контрактах.
Роль охватывает архитектуру, код, зависимости, контроль сборки и релизов, тестирование безопасности и раскрытие уязвимостей. Это практическая руководящая позиция. Вы будете задавать стратегию и операционную модель, руководить небольшой командой старших специалистов и оставаться непосредственно вовлечённым в ревью кода и моделирование угроз.
Вы будете подчиняться руководителю отдела безопасности и тесно сотрудничать с руководством инженерного отдела MetaMask, чтобы обеспечить понимание, владение и устранение рисков безопасности.
Обязанности
Лидерство и планирование
•Руководить и развивать команду безопасности приложений, включая найм, управление эффективностью и развитие карьеры, при этом оставаясь непосредственно вовлечённым в техническую работу.
•Определять стратегию безопасности приложений, годовые цели и квартальные OKR в соответствии с целями компании и утверждённой целевой операционной моделью. Определять и отслеживать KPI для измерения эффективности и прогресса.
•Отчитываться перед руководством по безопасности о прогрессе AppSec, охвате, эффективности устранения уязвимостей и существенных пробелах, а также вносить вклад в отчёты Комитета по рискам.
Безопасный дизайн и доставка
•Определять требования к проверке безопасности на этапах разработки и релиза, оценивать их выполнение и эскалировать нерешённые риски.
•Руководить моделированием угроз и обзорами безопасности дизайна клиентов, API и бэкенд-сервисов, включая аутентификацию, управление ключами, подпись и делегированные действия. Оценивать границы доверия по всей системе и участвовать в обзорах архитектуры и RFC.
•Определять требования безопасности цепочки поставок программного обеспечения и работать с инженерными командами для внедрения и проверки контроля зависимостей, сборок, артефактов и публикаций.
•Руководить обзорами кода безопасности в приложениях MetaMask и смарт-контрактах, сотрудничая с инженерами и соответствующими специалистами для устранения выявленных проблем.
•Определять и развивать безопасный жизненный цикл разработки с учётом AI-агентов, включая их доступ, действия и требования к человеческому контролю. Устанавливать стандарты безопасности для инструментов разработки AI, сгенерированного кода и AI-компонентов в продуктах.
•Интегрировать тестирование безопасности в рабочие процессы разработки и доставки, включая статический и динамический анализ, сканирование зависимостей, обнаружение секретов и AI-сканирование. Оценивать инструменты и проверять их результаты.
•Помогать инженерам предотвращать повторяющиеся уязвимости через рекомендации по безопасному кодированию, повторно используемые библиотеки, обучение и программу чемпионов безопасности.
Управление уязвимостями и внешнее тестирование
•Отвечать за оценку уязвимостей приложений, их сортировку, приоритизацию и отслеживание устранения в рамках системы управления уязвимостями организации. Коррелировать результаты по клиентам, сервисам и поддерживающей инфраструктуре с соответствующими владельцами для оценки совокупного воздействия. Обеспечивать наличие чётких владельцев и сроков для устранения, проверять исправления и эскалировать просроченные риски.
•Определять объём и предполагаемые инвестиции в программы bug bounty, тестирования на проникновение и AI-сканирования безопасности на основе рисков и результатов. Управлять внешними поставщиками, отношениями с исследователями, вознаграждениями и выплатами, а также координировать раскрытие уязвимостей.
Гарантии и поддержка при инцидентах
•Предоставлять доказательства контроля безопасности приложений для аудитов и проверок, а также поддерживать дью-дилидженс клиентов и партнёров.
•Оказывать экспертную поддержку по безопасности приложений во время инцидентов, включая анализ уязвимостей и помощь в их устранении.
Требования
Обязательные:
•Не менее восьми лет опыта в области безопасности приложений или разработки программного обеспечения с фокусом на безопасность, включая два года руководства людьми.
•Сильные практические навыки ревью кода на TypeScript/JavaScript, Go или Solidity в расширениях браузера, мобильных приложениях и бэкенд-сервисах с умением выявлять уязвимости и работать с инженерами над их устранением.
•Подтверждённый опыт обеспечения безопасности приложений на стороне клиентов и бэкенд-сервисов, включая распределённую аутентификацию, авторизацию и управление ключами.
•Опыт создания или значительного улучшения программы AppSec, включая проверки безопасности, автоматизированное тестирование, AI-сканирование, управление уязвимостями и поддержку разработчиков, с здравым суждением о том, где AI приносит пользу и как проверять его результаты.
•Практический опыт обеспечения безопасности цепочек поставок программного обеспечения, включая политики зависимостей, анализ состава ПО, npm, целостность артефактов и CI/CD.
•Опыт управления программами bug bounty и тестирования на проникновение, включая выбор и управление внешними поставщиками.
•Рабочие знания безопасности смарт-контрактов EVM, включая распространённые уязвимости, методы ревью, обновления и административный контроль, а также оценку внешних аудитов.
•Опыт внедрения улучшений безопасности через инженерные команды вне своей прямой подчинённости.
•Чёткие письменные коммуникационные навыки — от практических моделей угроз до кратких резюме рисков для руководителей.
Желательные:
•Квалификации в области наступательной безопасности, такие как OSCP, OSWE или OSWA, или подтверждённый опыт в программах bug bounty или CTF-соревнованиях.
•Опыт обеспечения безопасности расширений браузера или мобильных приложений.
•Опыт обеспечения безопасности рабочих процессов разработки с использованием AI или AI-компонентов в продуктах.
•Опыт работы в криптоиндустрии, Web3 или других секторах, подвергающихся постоянным атакам, таких как финтех, платежи или инфраструктура.
•Знания или сильный интерес к прикладной криптографии.
•Знакомство с атаками государственных акторов на софтверные компании, особенно с кампаниями по цепочке поставок и социальной инженерии со стороны КНДР.
•Опыт предоставления доказательств контроля безопасной разработки для оценок SOC 2 или ISO 27001.
Дополнительно
Не соответствуете всем требованиям? Если вы считаете, что у вас есть всё необходимое для хаотичной, но весёлой, удалённо-дружелюбной стартап-среды — подавайте заявку, подробно описав свои релевантные переносимые навыки в сопроводительном письме.
Для трудоустройства на эту позицию требуется, чтобы кандидаты могли пройти проверку биографии и идентификации, включая, но не ограничиваясь, проверками занятости, образования, судимости и другими проверками, которые компания сочтёт необходимыми.
