Lead Product Security Engineer

Über Aalyria: Aalyria ist ein führendes Technologieunternehmen, das Laserkommunikationstechnologie und temporospatial Software-definierte Netzwerkplattformen für die Luft- und Raumfahrtindustrie bereitstellt. Mit Technologie, die von Google übernommen wurde, steht Aalyria an der Spitze der Innovation in Satelliten- und Luftnetzwerken sowie in der Kommunikation im cislunaren und tiefen Weltraum.

Rollenübersicht: Sie werden die technische Stimme der Produktsicherheit bei Aalyria sein und an den Direktor für Sicherheit & IT berichten. Sie sind verantwortlich für Anwendungssicherheit, CI/CD- und Lieferkettensicherheit, unsere Kubernetes-basierte Produktinfrastruktur, produktspezifische Authentifizierung und PKI, und arbeiten eng mit der Hardware-Entwicklung an Tightbeam zusammen. Dies ist eine Rolle für einen Senior- bis Staff-Level Individual Contributor mit Möglichkeiten zur Weiterentwicklung in das Management, während die Funktion wächst. Wir benötigen jemanden, der sich in einem Terminal wohlfühlt und ebenso komfortabel ist, eine Architekturüberprüfung zu leiten.

Hauptverantwortlichkeiten:

• Anwendungs- und Software-Sicherheit: SAST/DAST/SCA, sichere SDLC, Bedrohungsmodellierung und Verwaltung von Softwareanfälligkeiten in unserem Code.
• CI/CD- und Lieferkettensicherheit: Härtung unserer GitLab-Pipelines, Build-Provenienz, Integrität von Abhängigkeiten, Signierung und SLSA-konforme Kontrollen.
• Produktsicherheitsinfrastruktur: GKE- und Kubernetes-Härtung, Container-Sicherheit, Arbeitslastidentität, Netzwerkpolitik und Laufzeitschutz.
• Produkt-PKI: Zertifikatslebenszyklus, Ausstellung, Rotation und mTLS-Architektur über verteilte Dienste und entfernte Assets.
• Verwaltung von Schwachstellen: Triage, Priorisierung, Nachverfolgung der Behebung und Ausnahmebehandlung für sowohl offengelegte upstream Probleme als auch interne Erkenntnisse.
• Reaktion auf Produktvorfälle: Leitung der Triage und Reaktion auf sicherheitsrelevante Vorfälle auf der Produktseite, Koordination mit der Unternehmens-IR und Durchführung von Nachbesprechungen zur Umsetzung von Maßnahmen.
• Härtung der Produktinfrastruktur: Basis-Konfigurationen, sichere Standards und kompensierende Kontrollen in Produktumgebungen.
• Partnerschaft in der Hardwaresicherheit: Zusammenarbeit mit dem Tightbeam-Team an Firmware-Sicherheit, sicherem Boot, Schlüsselverwaltung und Integrität der Hardware-Lieferkette.

Erforderliche Qualifikationen:

• Senior- oder Staff-Level praktische Erfahrung in Produktsicherheit oder Sicherheitsengineering mit erheblichem Tiefgang in Software/AppSec.
• Erfahrung in der Sicherung von Cloud-Umgebungen wie IAM, Organisationsrichtlinien, VPC-Servicekontrollen, KMS und Kubernetes.
• Starke kryptografische Grundlagen, PKI-Architektur, Schlüsselmanagement, Signierung, mTLS und Geheimnisverwaltung in großem Maßstab.
• Praktische Programmierkenntnisse in Python, Bash und Go; Sie können Werkzeuge schreiben, Kontrollen automatisieren und Terraform/Skripte bereitstellen, wenn die Situation es erfordert. Komfort beim Überprüfen von Code ist ein Plus.
• Eine Erfolgsbilanz beim Aufbau von Sicherheitsprogrammen, nicht nur beim Betrieb von Tools, die jemand anderes eingerichtet hat.
• Erfahrung in der Leitung von Reaktionen auf Produktvorfälle, Triage, Reaktion, Koordination mit Ingenieurteams, Kundenkommunikation und Nachbesprechungseigentum.
• Ein Muster des Mentorings von Ingenieuren und der Erhöhung des Sicherheitsniveaus der Teams um Sie herum, auch ohne direkte Berichte.
• Erfahrung in der Zusammenarbeit mit Hardware-/Firmware-Teams, auch wenn Hardware nicht Ihr primäres Gebiet ist.
• Starke schriftliche Kommunikation; Sie werden Bedrohungsmodelle, Entwurfsdokumente und Programmupdates schreiben, die an Führungskräfte, Kunden und Prüfer gehen.
• Kenntnisse der Compliance-Rahmenwerke, die unsere Umgebung regeln, wie CMMC, FedRAMP und DFARS, sowie die Fähigkeit, Kontrollen in Ingenieurarbeit zu übersetzen.

Bevorzugte Qualifikationen:

• Praktische Erfahrung mit NIST 800-53, NIST 800-171 oder DoD SRG-Umgebungen.
• Erfahrung mit Regierungs-Cloud-Plattformen.
• Tiefe Kenntnisse in der Hardwaresicherheit in HSMs, TPMs, sicheren Elementen und Lieferkettenattestierung.
• Hintergrund in Embedded/Firmware-Sicherheit, sicherem Boot, RoT, OTA-Update-Integrität, praktische Überprüfung von Firmware.
• Erfahrung im Aufbau oder Betrieb eines Programms zur Offenlegung von Schwachstellen oder Bug-Bounty, Triage, Forscherkommunikation und CVE-Koordination.

Was wir bieten:

• Innovative Umgebung: Arbeiten Sie in einem zukunftsweisenden Unternehmen, das die Zukunft der Luft- und Raumfahrtkommunikation gestaltet.
• Beeindruckende Arbeit: Tragen Sie direkt zu kritischen nationalen Sicherheitsprogrammen und -initiativen bei.
• Wachstumschancen: Erweitern Sie Ihre Karriere mit Möglichkeiten zur beruflichen Entwicklung und Aufstieg.
• Inklusive Kultur: Seien Sie Teil eines kollaborativen, unterstützenden und integrativen Arbeitsplatzes, in dem Ihre Beiträge zählen.
• Flexibilität: Flexible Arbeitsbedingungen, einschließlich hybrider Remote-/Büroschedules.
• Vergütung und Eigenkapital: Wettbewerbsfähiges Gehalt, umfassende Leistungen (401(k), Zahn-, Augen-, Gesundheits-, Lebensversicherung), bezahlter Urlaub und Aktienoptionen.

ITAR/EAR-Anforderungen: Diese Position beinhaltet den Zugang zu exportkontrollierten Informationen. Um den Exportvorschriften der US-Regierung zu entsprechen, müssen Bewerber eines der folgenden Kriterien erfüllen: (A) Qualifizieren Sie sich als US-Person, zu der gehören: US-Bürger oder Staatsangehöriger, US-rechtmäßiger Daueraufenthaltsberechtigter (Green Card-Inhaber), Flüchtling gemäß 8 U.S.C. 1157, Asylbewerber gemäß 8 U.S.C. 1158. (B) Berechtigt sein, auf exportkontrollierte Informationen zuzugreifen, ohne eine Exportgenehmigung zu benötigen. (C) Berechtigt sein und mit hoher Wahrscheinlichkeit die erforderliche Exportgenehmigung von der zuständigen US-Regierungsbehörde zu erhalten. Das Unternehmen behält sich das Recht vor, den Exportgenehmigungsprozess aus legitimen geschäftlichen Gründen abzulehnen.

Erklärung zur Chancengleichheit: Aalyria ist ein Arbeitgeber, der Chancengleichheit bietet. Wir feiern Vielfalt und setzen uns dafür ein, ein integratives Umfeld für alle Mitarbeiter zu schaffen. Wir diskriminieren nicht aufgrund von Rasse, Farbe, Religion, Geschlecht (einschließlich Schwangerschaft, Geschlechtsidentität und sexueller Orientierung), nationaler Herkunft, Alter, Behinderungsstatus, genetischen Informationen, geschützten Veteranenstatus oder einer anderen durch das Gesetz geschützten Eigenschaft. Qualifizierte Bewerber aus allen Hintergründen sind eingeladen, sich zu bewerben.