О нас
Financial Times — одна из ведущих новостных организаций мира, признанная во всем мире за свой авторитет, честность и точность, с миссией предоставлять качественную информацию и услуги по всему миру.
В FT любопытство процветает, а амбициозное мышление вознаграждается. Здесь вам предоставляется возможность достучаться до миллионов, создавать значимую работу и предоставлять беспристрастную журналистику в поляризованном мире.
В нашей теплой, совместной культуре вы будете взаимодействовать с разнообразным сообществом экспертов, которые поддерживают ваш рост, карьерные устремления и благополучие.
Ваше будущее в FT будет наполнено возможностями, которые бросают вызов и вдохновляют вас. Без фиксированного пути вы откроете новые навыки и построите карьеру, которая может привести вас куда угодно.
О роли
Мы ищем старшего инженера по кибербезопасности, который поможет развивать безопасность приложений и облаков в облачной, AWS-хостинговой технологической инфраструктуре FT. Эта роль примерно на 50/50 сосредоточена на безопасности приложений и облаков, тесно сотрудничая с командами продуктов, платформ и инженерии, чтобы сделать безопасную доставку проще по умолчанию.
Вы будете формировать и улучшать удобные для разработчиков защитные механизмы в CI/CD пайплайнах на базе GitHub, AWS-средах и рабочих процессах инфраструктуры как кода. Это включает улучшение SAST, анализа состава программного обеспечения, сканирования секретов, сканирования IaC, управления уязвимостями и управления неправильными конфигурациями AWS, чтобы результаты были действенными, с низким уровнем шума и принадлежали правильным командам.
В повседневной работе вы будете проводить практические сессии по моделированию угроз, проверять дизайны приложений и облаков, улучшать руководства по безопасности, поддерживать устранение уязвимостей и неправильных конфигураций, а также создавать автоматизацию, которая снижает рутинную работу. Мы ищем человека, который доказал улучшение результатов безопасности в реальных инженерных средах, а не просто обладающего теоретическими знаниями инструментов или фреймворков.
В зависимости от структуры команды вы также можете наставлять или управлять одним-двумя инженерами по безопасности, оставаясь при этом вовлеченным в техническую работу.
Что вы принесёте в эту роль
•Опыт в безопасности приложений и облаков: практический опыт как в безопасности приложений, так и в безопасности облаков, желательно в AWS-хостинговых, облачно-нативных средах.
•Безопасность, ориентированная на разработчиков: вы умеете работать с инженерами, ясно объяснять риски и проектировать контролы, которые помогают командам двигаться безопасно без лишних препятствий.
•Управление уязвимостями в масштабе: опыт улучшения процессов выявления, приоритизации, владения и устранения уязвимостей приложений, рисков зависимостей, результатов баг-баунти, результатов тестирования на проникновение и рекомендаций третьих сторон в инженерных командах.
•Управление неправильными конфигурациями и уязвимостями в облаке: опыт выявления и снижения уязвимостей и неправильных конфигураций инфраструктуры как кода и AWS в масштабе с помощью прагматичных защитных механизмов, инструментов и четких путей устранения.
•Моделирование угроз: уверенность в проведении легковесных, практических сессий по моделированию угроз, которые приводят к полезным инженерным решениям и снижению рисков.
•CI/CD и безопасность кода: практический опыт работы с инструментами безопасности, такими как SAST, анализ состава программного обеспечения, сканирование секретов и сканирование IaC.
•Автоматизация: умение писать скрипты или небольшие инструменты, желательно на Python, для снижения рутинной работы, улучшения видимости и выявления значимых рисков.
•Лидерство в безопасности: способность наставлять других инженеров по безопасности и влиять на инженеров по всей организации. В зависимости от структуры команды это может включать управление подчинёнными.
•Осведомлённость о безопасности ИИ: опыт использования ИИ для улучшения и масштабирования контроля безопасности приложений и облаков будет полезен, но не обязателен.
Основные обязанности
•Улучшать защитные механизмы безопасности приложений — настраивать и развивать SAST, анализ состава ПО, сканирование секретов и связанные контролы так, чтобы они были действенными, с низким уровнем шума и полезными для инженерных команд.
•Улучшать защитные механизмы безопасности облаков и IaC — помогать выявлять, приоритизировать и снижать неправильные конфигурации и уязвимости AWS и инфраструктуры как кода в масштабе.
•Управлять уязвимостями — улучшать процессы триажа, приоритизации и устранения уязвимостей приложений, рисков зависимостей, результатов баг-баунти, тестов на проникновение и рекомендаций третьих сторон.
•Управлять неправильными конфигурациями в облаке — помогать командам понимать, владеть и устранять проблемы безопасности облаков с помощью прагматичных, удобных для разработчиков рабочих процессов.
•Проводить практическое моделирование угроз — проводить легковесные сессии по моделированию угроз для новых продуктов, функций, сервисов и архитектурных изменений.
•Создавать автоматизацию и инструменты — создавать или улучшать скрипты, интеграции, панели и рабочие процессы, которые уменьшают ручной труд и упрощают понимание рисков.
•Поддерживать решения по безопасной архитектуре — вносить вклад в обзоры дизайна приложений и облаков, решения по архитектуре AWS и крупные технические изменения с точки зрения безопасности.
•Сотрудничать с инженерными командами — тесно работать с командами продуктов, платформ и разработки ПО для интеграции безопасности в дизайн, доставку и операционные практики.
•Поддерживать инциденты и извлекать уроки — предоставлять экспертные знания по безопасности приложений и облаков во время инцидентов и внедрять уроки в шаблоны, инструменты и рекомендации.
•Наставлять других — обучать инженеров по безопасности и инженерные команды практическим подходам к безопасности. В зависимости от структуры команды это может включать управление одним-двумя инженерами по безопасности.
Требуемый опыт, обязательный
•Сильный практический опыт в безопасности приложений и облаков, желательно с равномерным фокусом на оба направления.
•Практический опыт безопасности AWS, включая распространённые шаблоны неправильных конфигураций и практические подходы к их устранению.
•Опыт улучшения управления уязвимостями в инженерных командах, включая приоритизацию, владение, отслеживание устранения и снижение шума.
•Опыт улучшения управления неправильными конфигурациями облаков или IaC в масштабе удобным для разработчиков способом.
•Опыт интеграции, настройки или улучшения инструментов безопасности в CI/CD рабочих процессах, таких как SAST, анализ состава ПО, сканирование секретов или сканирование IaC.
•Опыт проведения практических сессий по моделированию угроз, влияющих на решения по дизайну, доставке или устранению.
•Умение писать скрипты или небольшие инструменты, желательно на Python, для автоматизации рабочих процессов безопасности или улучшения видимости.
•Сильные навыки коммуникации и сотрудничества, способность влиять на инженеров и технических лидеров без использования барьеров.
•Доказательства улучшения практик безопасности приложений, облаков или управления уязвимостями в реальной инженерной среде.
•Знакомство с Agile или Scrum методологиями работы.
Желательно
•Опыт использования ИИ для AppSec и CloudSec.
•Сертификация AWS Certified Security – Specialty или эквивалентный практический опыт безопасности AWS.
•Экспертиза в Terraform или CloudFormation.
•Опыт управления инцидентами или реагирования на инциденты.
•Опыт работы с Splunk или аналогичными платформами логирования/SIEM.
•Опыт работы с метриками безопасности, панелями и отчетностью, которые помогли достичь измеримого снижения рисков.
•Опыт наставничества или управления инженерами по безопасности.
Доступность
Мы являемся работодателем, уверенным в вопросах инвалидности, и подписантом Valuable 500. Пожалуйста, сообщите нам, если вам необходимы разумные корректировки/персонализация в процессе подачи заявки или для участия в собеседовании. Если вы хотите обсудить ваши требования или у вас есть вопросы, напишите на [email protected].
