Application Security Engineer II

Credit Acceptance ist stolz darauf, ein ausgezeichnetes Unternehmen zu sein, das sowohl lokal als auch national in mehreren Arbeitsplatzkategorien anerkannt wird. Unsere erstklassige Kultur wird von engagierten Teammitgliedern geprägt, die bestrebt sind, als Fachleute sowohl individuell als auch im Team erfolgreich zu sein. Unterstützt von einem starken Produkt, außergewöhnlichen Menschen und einer stabilen finanziellen Grundlage sind wir zu einem führenden Anbieter von Finanzierungen für gebrauchte und neue Autos im ganzen Land gewachsen.

Das Team für Engineering und Analytics nutzt die neueste Technologie, um komplexe Praktiken zu entwickeln, zu überwachen und aufrechtzuerhalten, die unseren Erfolg optimieren. Unsere Teammitglieder schätzen es, herausgefordert zu werden, werden ermutigt, ihre Ideen auszudrücken, und haben die Flexibilität, eine ausgewogene Work-Life-Balance zu genießen. Wir schaffen intrinsischen Wert, indem wir mit allen Funktionen unseres Unternehmens zusammenarbeiten, um deren Erfolg zu unterstützen und strategische Geschäftsentscheidungen zu treffen. Wir konzentrieren uns auf berufliche Entwicklung und kontinuierliche Verbesserung, während wir eine lockere Arbeitsumgebung und eine großartige Arbeitsplatzkultur genießen!

Der Application Security Engineer ist verantwortlich für die Sicherung der Software und Anwendungen, die Credit Acceptance entwickelt, kauft und betreibt. Diese Rolle arbeitet eng mit den Teams für Engineering, Produkt, Architektur und Geschäft zusammen, um sicherzustellen, dass Anwendungen, die sensible Verbraucher-, Händler- und Kreditsdaten verarbeiten, sicher entworfen, entwickelt und bereitgestellt werden, wobei sowohl interne Sicherheitsstandards als auch die regulatorischen Anforderungen eines Finanzdienstleistungsumfelds erfüllt werden.

Diese Position konzentriert sich darauf, Sicherheit in den Softwareentwicklungslebenszyklus einzubetten, indem sie praktische technische Anleitung bietet, Bedrohungsmodellierung und Sicherheitsüberprüfungen von Anwendungen durchführt, sichere Entwurfsmuster und Richtlinien definiert und die Engineering-Teams unterstützt, während sie moderne Web-, Mobile-, API- und cloudbasierte Anwendungen erstellen und pflegen.

Ergebnisse und Aktivitäten

• Diese Position kann von zu Hause aus arbeiten; gelegentliche geplante Reisen zu einem zugewiesenen Standort in Southfield, Michigan, können erforderlich sein.
• Partnerschaft mit Engineering- und Architekturteams zur Gestaltung und Überprüfung von Anwendungsarchitekturen (Web, Mobile, API und Microservices) hinsichtlich Sicherheit, Datenschutz und regulatorischer Compliance.
• Durchführung von Sicherheitsüberprüfungen von Anwendungen und Diensten in jeder Phase des SDLC, einschließlich Design, Code, Aufbau von Pipelines, Abhängigkeiten, Infrastruktur als Code und Drittanbieterkomponenten.
• Identifizierung und Minderung von Risiken wie: Injection, Authentifizierungs-/Autorisierungsfehler, unsichere Handhabung von NPI, PII und Zahlungsdaten, Management von Schwachstellen in Open-Source-Abhängigkeiten und Risiken in der Software-Lieferkette, unsichere Cloud-Konfigurationen, Geheimnisverwaltung und exponierte APIs.
• Unterstützung bei Bedrohungsmodellierung und Risikoanalysen für neue und bestehende Anwendungen, Unterstützung der Teams bei der Umsetzung praktischer Minderung.
• Bewertung und Unterstützung bei der Minderung von Sicherheitsrisiken, die durch KI-unterstützte und agentische Entwicklungstools eingeführt werden.

Governance, Standards und Richtlinien

• Beitrag zu und Operationalisierung von Anwendungssicherheitsstandards, sicheren Codierungsrichtlinien und sicheren Entwurfsmustern, die im gesamten Unternehmen verwendet werden.
• Bewertung von Anwendungssicherheitstools und -anbietern, um sicherzustellen, dass sie mit Sicherheits-, Datenschutz- und Compliance-Anforderungen übereinstimmen.
• Unterstützung der Einhaltung regulatorischer und branchenspezifischer Rahmenwerke in Zusammenarbeit mit rechtlichen, Compliance-, Prüfungs- und Risikopartnern.

Zusammenarbeit & Beratung

• Als vertrauenswürdiger Sicherheitsberater für Engineering-, Produkt- und DevOps-Teams fungieren, die Anwendungen bei Credit Acceptance erstellen, warten und betreiben.
• Teilnahme an Designüberprüfungen, Sprint-Planungen und Architektur-Arbeitsitzungen, die sich auf sichere Entwicklung und Bereitstellung konzentrieren.
• Bereitstellung von Leitlinien zur sicheren Nutzung von Frameworks, Bibliotheken, APIs, Authentifizierungssystemen und Cloud-Diensten, die mit Unternehmenssystemen und -daten interagieren.

Kontinuierliche Verbesserung

• Aktuell bleiben zu Anwendungssicherheitsbedrohungen, Schwachstellen und Best Practices, einschließlich neuer Risiken in Web-, Mobile-, API- und cloud-nativen Anwendungen.
• Empfehlung von Verbesserungen für Tools, Prozesse und Kontrollen zur Stärkung der Anwendungssicherheitslage des Unternehmens.
• Beitrag zu interner Dokumentation, Schulungen zur sicheren Codierung und Sicherheitsaktivierung für Entwickler und Engineering-Teams.

Kompetenzen

• Kundenempathie: Die Fähigkeit, die Perspektiven, Schmerzpunkte und Erfahrungen der Kunden zu verstehen.
• Engineering Excellence: Hohe Standards, Best Practices, Innovation und überlegene Lösungen.
• One Team: Eine kollaborative Herangehensweise ohne Grenzen.
• Owner’s Mindset: Verantwortung, Rechenschaftspflicht und strategisches Denken.

Erforderlich

• Abschluss eines Bachelor-Studiums oder gleichwertige Erfahrung.
• 3+ Jahre Erfahrung in Anwendungssicherheit, Produktsicherheit oder sicherer Softwareentwicklung.
• 2+ Jahre praktische Erfahrung in der Durchführung von Sicherheitsüberprüfungen von Anwendungen, Penetrationstests, Bedrohungsmodellierung oder sicherer Codeüberprüfung.

Bevorzugt

• Erfahrung in der Sicherung moderner Web-, Mobile- und API-basierter Anwendungen in einer regulierten Branche.
• Vertrautheit mit OWASP Top 10, OWASP ASVS und OWASP SAMM.
• Erfahrung mit Cloud-Plattformen und containerisierten Umgebungen.
• Kenntnisse der relevanten regulatorischen und Compliance-Anforderungen.
• Erfahrung in der Integration von Sicherheit in Softwareentwicklungs-Workflows und CI/CD-Pipelines.
• Praktische Erfahrung mit Anwendungssicherheitstools.
• Relevante Zertifizierungen sind von Vorteil.

Wissen und Fähigkeiten

• Starkes Verständnis moderner Softwareentwicklungspraktiken.
• Kenntnisse gängiger Anwendungsschwachstellen und Exploitationstechniken.
• Verständnis von Authentifizierung, Autorisierung, Identität, Kryptografie und sicheren Datenhandhabungsmustern.
• Fähigkeit, Sicherheitsrisiken klar zu kommunizieren.

Zielvergütung

Ein wettbewerbsfähiges Grundgehalt von $85,695 – $125,685. Diese Position ist berechtigt für einen jährlichen variablen Bargeldbonus zwischen 7,5 - 15%.

Leistungen

Ausgezeichnetes Leistungspaket, das 401(K)-Zuschüsse, Unterstützung bei der Adoption, Elternzeit, Studiengebührenrückerstattung, umfassende medizinische/dentale/visuelle Leistungen und viele nicht standardmäßige Vorteile umfasst.

Unsere Unternehmenswerte

• Positiv durch Resilienz und Lösungsorientierung.
• Respektvoll durch Zusammenarbeit und aktives Zuhören.
• Einfühlsam durch Innovation und Selbstbewusstsein.
• Direkt durch effektive Kommunikation.
• Aufrichtig durch Verantwortungsbewusstsein und Prioritätensetzung.

Erwartungen

• Einhaltung unserer Richtlinien, Prozesse und gesetzlichen Vorgaben.
• Alle anderen zugewiesenen Aufgaben.
• Anwesenheit gemäß den Anforderungen der Abteilung.

Credit Acceptance setzt sich dafür ein, ein sicheres und integratives Arbeitsumfeld für alle zu bieten. Im Rahmen unserer Kultur der Compliance sind wir stolz darauf, ein Arbeitgeber mit Chancengleichheit zu sein und schätzen unsere kulturell vielfältige Belegschaft.