О компании
TripleLift — это креативная SSP, работающая на базе TL Spark, нашего слоя агентного интеллекта. Мы объединяем креатив, предложение, аудиторию и измерения в единую систему, ориентированную на результат, охватывающую открытый интернет, розничные медиа и CTV. Наша платформа позволяет брендам и агентствам достигать измеримых результатов, одновременно помогая издателям максимизировать доход и сохранять высокое качество пользовательского опыта.
Обзор
Старший инженер по безопасности приложений играет ключевую роль в обеспечении безопасной разработки программного обеспечения и повышении зрелости безопасности приложений в организации инженерии и безопасности TripleLift, напрямую влияя на то, как мы защищаем наши рекламные платформы и доверие, которое нам оказывают наши издатели и рекламодатели. В этой должности вы будете тесно сотрудничать с командами инженерии, платформы, облачной инфраструктуры и безопасности для формирования практик безопасного кодирования, инструментов безопасности приложений, устранения уязвимостей и безопасности CI/CD, обеспечивая интеграцию безопасности в процесс проектирования, создания, развертывания и эксплуатации наших продуктов. Это захватывающая возможность для тех, кто хочет построить и масштабировать программу безопасности приложений в компании, работающей в центре быстро развивающейся и высокорисковой рекламно-технологической отрасли, внося значимый вклад в долгосрочную безопасность и устойчивость организации.
Обязанности
•Играть ключевую роль в создании и поддержании глобальной программы соответствия безопасности на основе NIST CSF.
•Масштабировать безопасность приложений, разрабатывая автоматизированное тестирование безопасности с использованием корпоративных инструментов SAST, DAST и обзора кода.
•Продвигать SDLC для поддержки безопасной разработки приложений и развертывания инфраструктуры, а также содействовать мероприятиям по исправлению кода.
•Автоматизировать тестирование безопасности в CI/CD пайплайнах для раннего обнаружения уязвимостей, включая создание и поддержку самих интеграций пайплайнов.
•Администрировать и стимулировать использование GitHub Advanced Security (GHAS): сканирование кода, сканирование секретов и обзор зависимостей во всех репозиториях инженерных команд.
•Участвовать в моделировании угроз и обзорах спецификаций дизайна/архитектуры для раннего выявления и снижения рисков безопасности в SDLC.
•Координировать с заинтересованными сторонами разработку и внедрение программы управления уязвимостями и проведение мероприятий по поиску угроз.
•Проводить внутреннее тестирование на проникновение и оценку уязвимостей приложений и инфраструктуры, а также проверять результаты тестов на проникновение, выполненных сторонними организациями.
•Отслеживать и реагировать на угрозы безопасности на уровне приложений, такие как злоупотребления API, ошибки бизнес-логики и распространённые веб-уязвимости.
•Сотрудничать с командами продуктов и инженерии, чтобы обеспечить, что безопасность является ключевым аспектом при проектировании и архитектуре программного обеспечения.
•Улучшать безопасность приложений, работая с кросс-функциональными командами для внедрения надлежащих механизмов аутентификации, авторизации и защиты данных.
•Улучшать и содействовать мероприятиям по обработке инцидентов безопасности.
•Популяризировать лучшие практики безопасности и обеспечивать обучение и повышение осведомленности сотрудников компании. Разрабатывать и внедрять руководства по безопасному кодированию и проводить тренинги по безопасной разработке для инженеров.
•Оценивать и постоянно улучшать зрелость программы безопасности через внедрение и управление различными инструментами и процессами безопасности.
Образование и требования
•Минимум 5 лет опыта в области безопасности приложений, безопасной разработки программного обеспечения, инженерии безопасности или аналогичной роли.
•Глубокое понимание практик безопасного кодирования и способность направлять разработчиков по стратегиям исправления.
•Опыт работы с GitHub Advanced Security (GHAS), включая сканирование кода (SAST), сканирование секретов и обзор зависимостей.
•Умение работать с инструментами SAST, DAST и SCA (например, CodeQL, Burp Suite, OWASP ZAP, Snyk, Checkmarx, Veracode).
•Практический опыт интеграции инструментов тестирования безопасности в CI/CD пайплайны для автоматизированного сканирования безопасности, включая проектирование и создание рабочих процессов пайплайнов.
•Практический опыт проведения тестирования на проникновение / offensive security для веб-приложений, API или облачной инфраструктуры.
•Знание распространённых уязвимостей безопасности приложений и методов их устранения (OWASP Top 10, CWE, ошибки бизнес-логики, безопасность API).
•Способность выполнять моделирование угроз и участвовать в обзорах спецификаций дизайна/архитектуры для оценки рисков безопасности в приложениях и сервисах.
•Опыт проведения обзоров безопасности кода на различных языках программирования (например, Python, Java, TypeScript, Go).
•Понимание основ безопасности в контексте различных кибербезопасных и комплаенс-фреймворков, особенно NIST CSF, а также PCI, SOC2, HITRUST, ISO 27001/2 или аналогичных.
•Глубокое понимание сервисов и контролей безопасности AWS (IAM, VPC, KMS, GuardDuty, CloudTrail) и опыт обеспечения безопасности облачных сред и рабочих нагрузок с возможностью развертывания в них инструментов безопасности.
•Способность брать на себя ответственность за проекты, работать самостоятельно с минимальным контролем и достигать результатов в быстро меняющейся среде, балансируя несколько приоритетов.
•Постоянно учиться, адаптироваться и ценить правильность, эффективность и конструктивную обратную связь.
Желательно
•Опыт работы в индустрии рекламных технологий / программматик рекламы или в другой высоконагруженной среде с реальным временем.
•Знакомство с использованием инструментов на базе ИИ/LLM (например, Claude или аналогичных) для разведки угроз, триажа оповещений или автоматизации безопасности.
•Наличие сертификата по кибербезопасности, например OSCP, GWAPT, CISSP, CISA и т.п.
