Senior Information Security Engineer - Application Security

Über die Rolle

Als Senior Information Security Engineer (AppSec) bei Camunda werden Sie Teil eines kleinen, erfahrenen und hochgradig kollaborativen InfoSec-Teams, das unsere FAITH-Werte – Fokus, Ambition, Integrität, Talent und Humor – täglich lebt. Sie arbeiten eng mit unseren Produkt- und Engineering-Teams über den gesamten SDLC hinweg zusammen, um sicherzustellen, dass unsere Plattform sicher entworfen, gebaut und ausgeliefert wird, während wir weiter wachsen. Dies ist eine technische, praktische, entwicklerzentrierte Rolle, in der Sie gestalten, wie wir sichere Java-Dienste in einer modernen CI/CD-, SaaS-Umgebung aufbauen, unsere AppSec-Tools und -Praktiken stärken und direkt beeinflussen, wie Kunden Camunda vertrauen und annehmen.

Was Sie tun werden:

• Partnerschaft mit Engineering-Teams während des gesamten SDLC – von frühen Design- und Architekturgesprächen über Implementierung und Tests bis hin zur Bereitstellung – um Sicherheit von Anfang an in unsere Produkte zu integrieren.
• Leitung und Weiterentwicklung unserer AppSec-Tools und -Workflows durch Implementierung, Feinabstimmung und Integration von SAST, DAST, SCA und Container-/Bild-Scanning in CI/CD-Pipelines und Sicherstellung, dass die Ergebnisse für Entwickler umsetzbar sind.
• Steuerung des Schwachstellenmanagements für unsere Anwendungen und Lieferkette, einschließlich der Priorisierung von Problemen, Koordination mit Teams zu Entscheidungen über Behebung/Minderung/Akzeptanz und Sicherstellung, dass wir unsere Sicherheitslage kontinuierlich verbessern.
• Durchführung von sicheren Design- und Architekturüberprüfungen sowie Bedrohungsmodellierung für verteilte, API- und mikroservicesbasierte Systeme, um Teams zu helfen, Sicherheitskompromisse zu verstehen und fundierte, risikobasierte Entscheidungen zu treffen.
• Unterstützung und Koordination von Sicherheitsvorfällen auf Anwendungsebene und Eskalationen, enge Zusammenarbeit mit Engineering, Support und anderen Stakeholdern zur Untersuchung, Eindämmung und zum Lernen aus Problemen.
• Zusammenarbeit mit dem Rest des InfoSec-Teams bei Sicherheitsprüfungen, Kundenversicherungen und anderen Prozessen.

Was Sie mitbringen:

• Fähigkeit und/oder Bereitschaft, unser Produkt zu nutzen.
• Starker Hintergrund in Softwareengineering und sicherem Codieren, mit umfangreicher praktischer Erfahrung im Aufbau und in der Überprüfung von Java-Diensten, in CI/CD-Umgebungen und in der sicheren Auslieferung von SaaS oder anderen cloudbasierten Anwendungen.
• Erfahrung in sicherem SDLC, Architektur- und Risikoabschätzungen, einschließlich sicherer Designüberprüfungen, Bedrohungsmodellierung für verteilte/API/mikroservicesbasierte Systeme und Durchführung von Risikoabschätzungen bei Produktänderungen oder neuen Funktionen.
• Expertise im Schwachstellenmanagement und in Sicherheitstools, mit nachweislicher Erfolgsbilanz bei der Implementierung und Feinabstimmung von SAST/DAST/SCA und Container-/Bild-Scanning, Bewertung und Priorisierung von Ergebnissen (einschließlich falscher Positiver) und Steuerung von Behebungs-/Minderungs-/Akzeptanzentscheidungen mit Engineering-Teams.
• Fähigkeiten zur bereichsübergreifenden Zusammenarbeit und Kommunikation, die es Ihnen ermöglichen, effektiv mit Engineering, Support, Vertrieb und anderen Stakeholdern zu arbeiten, während Sie komplexe Sicherheitsprobleme und Kompromisse klar und pragmatisch sowohl technischen als auch nicht-technischen Zielgruppen erklären.
• Entwicklerzentrierte, incident-sensible Denkweise, was bedeutet, dass Sie sich wohl fühlen, Sicherheitsvorfälle und Eskalationen zu verwalten und zu unterstützen, sich als Ermöglicher (nicht als Torwächter) sehen und Teams zu risikobasierten, praktischen Sicherheitsverbesserungen beeinflussen.

Nice-to-haves:

• Erfahrung in der Entwicklung mit Python, JavaScript oder TypeScript zusätzlich zu Java.
• Praktische Erfahrung in der Sicherung von Kubernetes- oder containerbasierten Workloads und modernen Cloud-Umgebungen.
• Frühere Tätigkeit in einem B2B-Softwareunternehmen, insbesondere in Hochverfügbarkeits- oder Multi-Tenant-Kontexten.
• Erfahrung in der Durchführung von Sicherheitsschulungen, Vorträgen oder Workshops für Engineering-Teams.

Wir bieten wettbewerbsfähige, faire und transparente Vergütung. Die Gehaltsspannen basieren auf dem Standort, wobei Standard- und Hauptmärkte (globale Technologiezentren) den lokalen Wettbewerb widerspiegeln. Die jährliche Gesamtzielvergütung (Grundgehalt + 100 % variabler Zielbetrag, wo zutreffend) reicht von dem Minimum in einem Standardmarkt bis zum Maximum in einem Hauptmarkt. Endangebote hängen von Fähigkeiten, Erfahrung und Standort ab, und wir stellen typischerweise in der ersten Hälfte der Spanne ein, um Raum für Wachstum zu lassen.

Alle sind bei Camunda willkommen – es ist ein gefeierter Bestandteil unserer Kultur. Wir streben danach, ein integratives Umfeld zu schaffen, das unsere Menschen stärkt. Bei Camunda ehren wir vielfältige Kulturen und Hintergründe und sind stolz darauf, ein Arbeitgeber mit Chancengleichheit zu sein. Alle qualifizierten Bewerber werden ohne Rücksicht auf Geschlecht, Rasse, Ethnie, Religion, Glauben, sexuelle Orientierung, Alter, Behinderung oder andere geschützte Merkmale gemäß geltendem Recht berücksichtigt. Wir freuen uns auf Ihre Bewerbung!

Camunda kann KI-Tools verwenden, um die Sichtung von Bewerbungen und während des Interviewprozesses zu unterstützen.