Senior Product Security Engineer / Architect [Lausanne]

Wollen Sie Teil eines neuen unternehmerischen Abenteuers sein und helfen, das nächste globale FinTech aufzubauen? Taurus ist ein von der FINMA reguliertes Wertpapierunternehmen mit Sitz in Genf, Schweiz, das seinen Kunden den Handel mit digitalen Vermögenswerten und Finanzdienstleistungen anbietet. Es ist auch ein weltweit führender Anbieter von Infrastruktur-Lösungen für digitale Vermögenswerte für Banken, Unternehmen und Privatkunden. Die Plattform von Taurus nutzt Blockchain-Technologie und deckt Kryptowährungen, tokenisierte Wertpapiere, tokenisierte Vermögenswerte (wie NFTs), digitale Währungen und Stable Coins ab. Wir suchen ehrgeizige und motivierte Personen, die unser schnelles globales Wachstum unterstützen.

Aufgaben

• Eine tiefgreifende, praktische Rolle als Einzelbeitragender, in der Sie die Sicherheitsstandards des Produkts selbst erhöhen.
• Sie sind der Sicherheitspartner, den Ingenieure im Raum haben möchten: jemand, der einen Diff öffnen, die Angriffsfläche verstehen, die Automatisierung aufbauen kann, die die Lösung durchsetzt, und sie am selben Tag versendet.
• Ein Großteil dieser Oberfläche ist kryptografisch (Schlüssel, Signierung, HSMs und die Vertrauensgrenze um sie herum), sodass Sie dort den größten Einfluss haben werden.

Verantwortlichkeiten

• Verantwortung für die Produktsicherheit aller anwendbaren digitalen Vermögensprodukte: Taurus-PROTECT, Taurus-CAPITAL, Taurus-EXPLORER und Taurus-NETWORK.
• Beitrag zur Produktsicherheit im Finanzdienstleistungsbereich.
• Beitrag zur Sicherheitsarchitektur für HSMs, vertrauliches Computing, MPC und kryptografische Systeme.
• Sicherheitsüberprüfungen von Anwendungs-Code, kryptografischen Workflows, Smart Contracts, HSM-Integrationen und komponentenbasierten Enklaven durchführen.
• Bedrohungen neuer Funktionen modellieren und architektonische Designs vor der Veröffentlichung überprüfen.
• Leitung und Überprüfung von Penetrationstests, Reproduktion von Ergebnissen und Validierung von Behebungsplänen.
• Automatisierung aufbauen und besitzen, die Sicherheitsrichtlinien durchsetzt – über CI/CD-Pipelines, Software-Lieferketten, Kubernetes-Umgebungen und Bereitstellungsplattformen.
• Mit Produktentwicklungsteams zusammenarbeiten, um Lösungen zu entwerfen und zu versenden, nicht nur Ergebnisse zu protokollieren.
• Überprüfen von Autorisierungsmodellen, Privilegienmanagement, Identitätsintegrationen und operativen Zugriffskontrollen.
• Unterstützung bei Vorfallreaktionen, Schwachstellenmanagement und Sicherheitsuntersuchungen.
• Unterstützung von Kundenprüfungen, RFPs, Sicherheitsworkshops und regulatorischen Diskussionen.
• Übersetzung von regulatorischen und Compliance-Anforderungen in praktische technische Kontrollen.
• Überwachung von Sicherheitsnachrichten und -trends; potenzielle Auswirkungen auf Produkte identifizieren und rechtzeitige Korrekturmaßnahmen sicherstellen.

Anforderungen

• Master oder PhD in Informatik, IT-Sicherheitsengineering oder Kryptografie.
• 7+ Jahre Erfahrung in Anwendungssicherheit, Produktsicherheit, offensiver Sicherheit oder Sicherheitsengineering.
• Hintergrund in sicherheitskritischen Umgebungen – Finanzdienstleistungen, Zahlungen, Identität, Verwahrung, eingebettete Systeme oder regulierte Plattformen.
• Fließende schriftliche und mündliche Englischkenntnisse.

Wichtige Anforderungen

• Anwendungs- und Produktsicherheit: Starke Erfahrung in der Sicherheitscodeüberprüfung in mindestens zwei der folgenden Sprachen: Go, C/C++, TypeScript, Python.
• Bedrohungsmodellierung, sichere Designüberprüfungen und Penetrationstests.
• Fähigkeit, Geschäftslogikfehler, Autorisierungsprobleme, kryptografische Fehlanwendungen und komplexe Angriffswege zu identifizieren.
• Kryptografie & Schlüsselmanagement: Starke Grundlagen in angewandter Kryptografie: PKI, TLS, X.509; AES, RSA, ECDSA, EdDSA; Schlüsselmanagement und Schlüsselzeremonien; sichere Schlüsselaufbewahrung und Signierungsworkflows.
• Erfahrung mit HSM-Technologien und PKCS#11-Umgebungen.
• Infrastruktur- & Cloud-Sicherheit: Starke Erfahrung in Kubernetes und Container-Sicherheit.
• Vertrautheit mit Cloud-IAM, Arbeitslastidentität, Geheimnisverwaltung und Policy-as-Code.
• Eine Builder-Mentalität – Sie implementieren Sicherheitskontrollen, nicht nur überprüfen sie.
• Sichere Hardware & vertrauliches Computing: Erfahrung mit einem oder mehreren der folgenden: Thales / Luna HSM, AWS CloudHSM, Azure Managed HSM, Intel SGX, AMD SEV-SNP, AWS Nitro Enclaves, Azure Confidential Computing.
• Kunden- & Kommunikationsfähigkeiten: Komfortabel im Umgang mit Sicherheitsteams, Prüfern, Regulierungsbehörden, Unternehmenskunden und potenziellen CISOs.
• Fähigkeit, komplexe Sicherheitsthemen klar und pragmatisch zu erklären.

Ein großer Pluspunkt

• Blockchain- und Smart-Contract-Sicherheit.
• MPC- und Schwellenwertsignatursysteme.
• Fuzzing und sichere Softwaretests.
• Sicherheitskonformität und regulatorische Rahmenbedingungen (FINMA, DORA, MiCA, ISO 27001, SOC 2, FIPS 140-3).
• Öffentliche Sicherheitsforschung, CVEs, Bug-Bounty-Erfahrungen oder Beiträge zur Open-Source-Sicherheit.
• Erfahrung in der Unterstützung von RFPs, Sicherheitsfragebögen und Kunden-Due-Diligence.
• Abschluss in Informatik, Sicherheit oder gleichwertige praktische Erfahrung.

Vorteile

• Eine Gelegenheit, an der Schnittstelle von digitalen Vermögenswerten und Finanzen zu arbeiten.
• Ein kompetentes und erfahrenes Team, einschließlich weltweit renommierter Experten.
• Ein schnelllebiges Lernumfeld, unternehmerischer Geist und Teamgeist.
• Ein großartiger Zeitpunkt, um beizutreten, während das Unternehmen wächst und sich erweitert.
• Modernste Technologie und IT-Infrastruktur.
• Hybrides Arbeiten und flexible Arbeitszeiten.
• Unterhaltsame Teamevents.

Da sich das Unternehmen in einem dynamischen und innovativen Umfeld weiterentwickelt, basiert seine DNA auf Verdienst. Daher wird es erhebliche Wachstumschancen für Kandidaten mit einer offenen und ergebnisorientierten Denkweise geben. Wir sind ein Arbeitgeber, der Chancengleichheit bietet. Bitte beachten Sie: Wir eröffnen diese Position mit einem angestrebten Startdatum im ersten Quartal 2027, daher sind frühe Bewerbungen sehr willkommen. Bewerbungen über Agenturen werden nicht berücksichtigt.