Remote-First Senior Security Engineer, Docker Desktop

Docker hat sich als eine der beliebtesten Marken im Bereich Entwickler-Tools etabliert, die von mehr als 20 Millionen monatlichen Nutzern und über 20 Milliarden Container-Image-Zugriffen vertraut wird. Von Solo-Gründern bis hin zu den größten Unternehmen der Welt verlassen sich Entwickler auf Docker, um ihre Anwendungen über unsere Produktpalette, einschließlich Docker Desktop, Docker Hub und Docker Scout, zu erstellen, zu teilen und auszuführen.

Wir sind ein global verteiltes, remote-first Team, das die Werkzeuge entwickelt, die definieren, wie Software erstellt und bereitgestellt wird. Als Senior Security Engineer, der im Desktop-Engineering-Team eingebettet ist, werden Sie die Sicherheitslage eines komplexen, plattformübergreifenden Produkts verantworten, das an der Schnittstelle von Identität, OCI-Laufzeiten und Linux-Kernel-Interna sitzt. Sie werden die primäre Sicherheitsstimme des Teams sein, Funktionen und Code vor der Auslieferung überprüfen, mit unserer zentralen Sicherheitsorganisation zusammenarbeiten und als erste Anlaufstelle für gemeldete Schwachstellen dienen.

Verantwortlichkeiten

• Zusammenarbeit mit Engineering- und Produktteams während des gesamten Entwicklungszyklus zur frühzeitigen Identifizierung von Sicherheitsrisiken, von der Entwurfsprüfung über die Codeprüfung bis zur Veröffentlichung.
• Durchführung von Bedrohungsmodellierung und Sicherheitsdesignprüfungen für neue und sich entwickelnde Produktmerkmale, mit besonderem Fokus auf Authentifizierung, Autorisierung und Sicherheit der Containerlaufzeit.
• Als primärer Ansprechpartner des Teams für die Sicherheitsgruppe der Organisation fungieren, an Sicherheits-Syncs teilnehmen, Richtlinien weitergeben und zentrale Richtlinien in praktische Ingenieurlösungen übersetzen.
• Erster Ansprechpartner für eingehende Schwachmeldungen und CVEs: Schweregrad validieren, Probleme reproduzieren, Offenlegungszeitpläne koordinieren und die Behebung mit den relevanten Ingenieuren vorantreiben.
• Go-Code mit einem Sicherheitsbewusstsein überprüfen und Klassen von Problemen identifizieren, wie z.B. Privilegieneskalation, unsichere Standardwerte, Injektionsrisiken und unsachgemäße Handhabung von Anmeldeinformationen.
• Sicherheitsfokussierte Verbesserungen direkt in den Code einbringen, wo es angebracht ist.
• Entwicklung und Pflege interner Sicherheitsdokumentationen, Richtlinien und Handbücher für das Team.
• Aktuell bleiben über die Sicherheitslandschaft von Linux in Bezug auf Container: Namespaces, cgroups, seccomp, AppArmor, Fähigkeiten und das sich entwickelnde OCI-Ökosystem.

Diese Rolle kann die Teilnahme an einer Bereitschaftsschicht erfordern, um außerhalb der regulären Arbeitszeiten Unterstützung zu leisten, einschließlich Abenden, Wochenenden und Feiertagen, falls erforderlich.

Qualifikationen

• 6+ Jahre Erfahrung in der Sicherheitsengineering, Anwendungssicherheit oder einem eng verwandten Bereich, mit nachweislicher Erfolgsbilanz auf Senior- oder Staff-Ebene.
• Bachelor-Abschluss in Informatik, Ingenieurwesen oder einem verwandten Bereich oder gleichwertige praktische Erfahrung.
• Starke Kenntnisse in Go, mit der Fähigkeit, produktionsrelevanten Code zu überprüfen und beizutragen.
• Tiefes Verständnis der Linux-Grundlagen, die für die Sicherheit von Containern relevant sind: Namespaces, cgroups, Fähigkeiten, seccomp-Profile, AppArmor/SELinux, rootlose Container und Privilegiengrenzen.
• Solides Verständnis der OCI-Spezifikationen und der Sicherheit von Containerlaufzeiten (z.B. runc, containerd, BuildKit).
• Praktische Erfahrung mit Konzepten des Identitäts- und Zugriffsmanagements: OAuth 2.0, OIDC, Token-Handhabung und Auth-Flows in Desktop- oder Cloud-nahen Kontexten.
• Erfahrung in der Durchführung von Sicherheitsdesignprüfungen, Bedrohungsmodellierung und Teilnahme an sicheren Entwicklungsabläufen.
• Vertrautheit mit Prozessen des Schwachstellenmanagements: CVE-Triage, CVSS-Bewertung, koordinierte Offenlegung und Zusammenarbeit mit externen Meldenden.
• Starke schriftliche und mündliche Kommunikationsfähigkeiten; in der Lage, die Kluft zwischen einem dedizierten Sicherheitsteam und einem Produktentwicklungsteam zu überbrücken.

Was Sie erwarten können

• Erste 30 Tage: Sie werden in das Team eingearbeitet und erhalten praktische Erfahrungen mit dem Docker Desktop-Code, der Architektur und dem Entwicklungsworkflow. Sie werden Ihre Kollegen in der zentralen Sicherheitsorganisation kennenlernen und erfahren, wie Schwachmeldungen derzeit behandelt werden.
• Erste 90 Tage: Sie werden aktiver Teilnehmer an Design- und Codeprüfungen sein und einen Sicherheitsblick auf laufende Funktionen bringen. Sie werden die Verantwortung für den Prozess der Schwachstellenerfassung übernehmen und Ihre ersten End-to-End-Triage-Zyklen mit minimaler Anleitung durchführen.
• Ein Jahr Ausblick (erstes Jahr): Sie werden die vertrauenswürdige Autorität des Teams in Bezug auf Produktsicherheit sein. Sie werden bedeutende Verbesserungen in der Herangehensweise des Teams an Sicherheit über den Entwicklungszyklus hinweg vorangetrieben haben.

Docker betrachtet die Visumsunterstützung fallweise basierend auf den geschäftlichen Bedürfnissen.

Vergütung & Equity

• Kanada: CA$271,150 – CA$434,000 + Equity
• Vereinigte Staaten: $194,150 – $312,950 + Equity
• EU: €113,860 – €186,780 + Equity

Vorteile & Leistungen

• Remote-first by design – Arbeiten Sie von zu Hause aus, mit Büros in Seattle und Paris für Verbindung und Zusammenarbeit.
• Flexibilität, die zu Ihrem Leben passt – Wir vertrauen Ihnen, Ihren Zeitplan zu verwalten, während Sie großartige Arbeit leisten.
• Zeit zum Auftanken – Großzügiger PTO, festgelegte vierteljährliche Whaleness-Tage und eine festgelegte Whaleness-Pause zum Jahresende.
• Unterstützung für das Home Office – Richten Sie Ihren Arbeitsplatz für Komfort und Erfolg ein.
• Technologiestipendium – Entspricht 100 US-Dollar netto pro Monat zur Unterstützung Ihrer Arbeit.
• Lernen & Entwicklung – Jährliches Stipendium für Konferenzen, Kurse, Zertifizierungen und kontinuierliches Lernen.
• Elternzeit – 16 Wochen bezahlte Elternzeit nach sechs Monaten Beschäftigung.
• Equity für alle Vollzeitmitarbeiter – Teilen Sie den langfristigen Erfolg von Docker, während wir weiter wachsen.
• Umfassende Leistungen – Medizinische Versorgung, Altersvorsorge und bezahlte Feiertage variieren je nach Land.
• Docker-Swag – Denn die Vertretung des Wals wird nie alt.

Docker ist stolz darauf, ein Arbeitgeber mit Chancengleichheit zu sein. Wir setzen uns dafür ein, ein Team aufzubauen, das eine breite Palette von Hintergründen, Erfahrungen und Perspektiven widerspiegelt. Wir glauben, dass vielfältige Teams bessere Produkte entwickeln, bessere Entscheidungen treffen und unsere globale Gemeinschaft besser bedienen.