# О нас
Financial Times — одна из ведущих мировых новостных организаций, признанная во всем мире за свою авторитетность, честность и точность, с миссией предоставлять качественную информацию и услуги по всему миру. В FT любопытство процветает, а амбициозное мышление вознаграждается. В нашей теплой, совместной культуре вы будете общаться с разнообразным сообществом экспертов, которые поддерживают ваш рост, карьерные устремления и благополучие.
# Обзор роли
Мы ищем старшего инженера по кибербезопасности, который поможет развить безопасность приложений и облаков в облачной, AWS-хостинговой технологической инфраструктуре FT. Эта роль примерно на 50/50 сосредоточена на безопасности приложений и облаков, тесно сотрудничая с командами продуктов, платформ и инженерии, чтобы сделать безопасную доставку проще по умолчанию.
Вы будете формировать и улучшать удобные для разработчиков защитные механизмы в CI/CD пайплайнах на базе GitHub, AWS-средах и рабочих процессах инфраструктуры как кода. Это включает улучшение SAST, анализа состава программного обеспечения, сканирования секретов, сканирования IaC, управления уязвимостями и управления неправильными конфигурациями AWS, чтобы результаты были действенными, с низким уровнем шума и принадлежали соответствующим командам.
В повседневной работе вы будете проводить практические сессии по моделированию угроз, проверять дизайны приложений и облаков, улучшать руководства по безопасности, поддерживать устранение уязвимостей и неправильных конфигураций, а также создавать автоматизацию, которая снижает рутинную работу. Мы ищем человека, который на практике улучшал результаты безопасности в реальных инженерных средах, а не просто обладает теоретическими знаниями инструментов или фреймворков.
В зависимости от структуры команды вы также можете наставлять или управлять одним-двумя инженерами по безопасности, оставаясь при этом вовлеченным в техническую работу.
# Что вы принесёте в эту роль
•Опыт в безопасности приложений и облаков: практический опыт как в безопасности приложений, так и в безопасности облаков, желательно в облачных средах на базе AWS.
•Ориентированность на безопасность, удобную для разработчиков: умение работать с инженерами, ясно объяснять риски и разрабатывать меры контроля, которые помогают командам работать безопасно без лишних препятствий.
•Управление уязвимостями в масштабе: опыт улучшения процессов выявления, приоритизации, владения и устранения уязвимостей приложений, рисков зависимостей, результатов bug bounty, результатов тестирования на проникновение и рекомендаций.
•Управление неправильными конфигурациями и уязвимостями в облаке: опыт выявления и снижения уязвимостей и неправильных конфигураций инфраструктуры как кода и AWS в масштабе с помощью прагматичных защитных механизмов, инструментов и четких путей устранения.
•Моделирование угроз: уверенность в проведении легких, практических сессий по моделированию угроз, которые приводят к полезным инженерным решениям и снижению рисков.
•CI/CD и безопасность кода: практический опыт работы с инструментами безопасности, такими как SAST, анализ состава программного обеспечения, сканирование секретов и сканирование IaC.
•Ориентированность на автоматизацию: способность писать скрипты или небольшие инструменты, желательно на Python, для снижения рутинной работы, улучшения видимости и выявления значимых рисков.
•Лидерство в области безопасности: способность наставлять других инженеров по безопасности и влиять на инженеров по всей организации. В зависимости от структуры команды это может включать управление в линии.
•Осведомленность о безопасности ИИ: опыт использования ИИ для улучшения и масштабирования контроля безопасности приложений и облаков будет полезен, но не обязателен.
# Ключевые обязанности
Улучшать защитные механизмы безопасности приложений — настраивать и развивать SAST, анализ состава программного обеспечения, сканирование секретов и связанные меры контроля так, чтобы они были действенными, с низким уровнем шума и полезными для инженерных команд.
Улучшать защитные механизмы безопасности облаков и IaC — помогать выявлять, приоритизировать и снижать неправильные конфигурации и уязвимости AWS и инфраструктуры как кода в масштабе.
Управлять уязвимостями — улучшать процессы триажа, приоритизации и устранения уязвимостей приложений, рисков зависимостей, результатов bug bounty, тестов на проникновение и сторонних рекомендаций.
Управлять неправильными конфигурациями в облаке — помогать командам понимать, владеть и устранять проблемы безопасности облаков с помощью прагматичных, удобных для разработчиков рабочих процессов.
Проводить практическое моделирование угроз — организовывать легкие сессии по моделированию угроз для новых продуктов, функций, сервисов и архитектурных изменений.
Создавать автоматизацию и инструменты — разрабатывать или улучшать скрипты, интеграции, панели мониторинга и рабочие процессы, которые снижают ручной труд и упрощают понимание рисков.
Поддерживать решения по безопасной архитектуре — предоставлять экспертные знания по безопасности приложений и облаков при обзорах дизайна, архитектурных решениях AWS и крупных технических изменениях.
Сотрудничать с инженерными командами — тесно работать с командами продуктов, платформ и разработки программного обеспечения для интеграции безопасности в дизайн, доставку и операционные практики.
Поддерживать инциденты и извлекать уроки — предоставлять экспертные знания по безопасности приложений и облаков во время инцидентов и внедрять извлечённые уроки в шаблоны, инструменты и рекомендации.
Наставлять других — обучать инженеров по безопасности и инженерные команды практическим подходам к безопасности. В зависимости от структуры команды это может включать управление в линии одним-двумя инженерами по безопасности.
# Требуемый опыт, обязательный
•Сильный практический опыт в безопасности приложений и облаков, желательно с равномерным фокусом на обе области.
•Практический опыт безопасности AWS, включая распространённые шаблоны неправильных конфигураций и практические подходы к их устранению.
•Опыт улучшения управления уязвимостями в инженерных командах, включая приоритизацию, владение, отслеживание устранения и снижение шума.
•Опыт улучшения управления неправильными конфигурациями облаков или IaC в масштабе удобным для разработчиков способом.
•Опыт интеграции, настройки или улучшения инструментов безопасности в CI/CD рабочих процессах, таких как SAST, анализ состава программного обеспечения, сканирование секретов или сканирование IaC.
•Опыт проведения практических сессий по моделированию угроз, влияющих на решения по дизайну, доставке или устранению.
•Умение писать скрипты или небольшие инструменты, желательно на Python, для автоматизации рабочих процессов безопасности или улучшения видимости.
•Сильные навыки коммуникации и сотрудничества, способность влиять на инженеров и технических лидеров без использования барьеров.
•Доказательства улучшения практик безопасности приложений, облаков или управления уязвимостями в реальной инженерной среде.
•Знакомство с методологиями Agile или Scrum.
# Желательно
•Опыт использования ИИ для AppSec и CloudSec.
•Сертификация AWS Certified Security – Specialty или эквивалентный практический опыт безопасности AWS.
•Экспертиза в Terraform или CloudFormation.
•Опыт управления инцидентами или реагирования на инциденты.
•Опыт работы с Splunk или аналогичными платформами логирования/SIEM.
•Опыт работы с метриками безопасности, панелями мониторинга или отчетностью, которые способствовали измеримому снижению рисков.
•Опыт наставничества или управления инженерами по безопасности.
# Что вы получите взамен
Льготы варьируются в зависимости от местоположения, но включают щедрый ежегодный отпуск, медицинское страхование, инклюзивные пакеты по уходу за ребенком, субсидированные абонементы в спортзал и возможности для участия в общественной деятельности.
В настоящее время работа организована по гибридной модели, которая требует от сотрудников работать на месте 50% времени, с учетом требований роли и регулярного пересмотра. Запросы на гибкий график рассматриваются, но не все режимы подходят для всех ролей.
# Доступность
FT — работодатель, уверенный в вопросах инвалидности, и подписант инициативы Valuable 500. Кандидаты могут сообщить о необходимости разумных корректировок в процессе подачи заявки или для участия в собеседовании, написав на [email protected].
