Python/Django Senior Application Security Engineer

Wir suchen einen Senior Application Security Engineer, der mit unserem Entwicklungsteam zusammenarbeitet, um Sicherheit und Risiko bei unseren intern entwickelten Anwendungen zu verwalten. Der Ingenieur wird risikobasierte Entscheidungen zur Anwendungssicherheit treffen, einschließlich der Empfehlung und Validierung von Kontrollen, der Mitwirkung an der Gestaltung und dem Upgrade von Anwendungssicherheitskontrollen sowie der Leitung neuer Projekte zur weiteren Sicherung unserer Plattformen. Diese Rolle konzentriert sich hauptsächlich auf die Ausführung und Beratung, sollte jedoch mit Roadmap und Strategie vertraut sein und dort beitragen, wo es angemessen ist. Erforderlich ist die Fähigkeit, sichere Django/Python-Muster zu lesen, zu überprüfen und Empfehlungen abzugeben.

Verantwortlichkeiten

• Beitrag zur Anwendungssicherheits-Roadmap für unsere internen Anwendungen – Priorisierung von Risiken und Sequenzierung der Arbeiten über Codebasen, Anwendungsschicht und DevOps.
• Beratung von Ingenieuren zur Kommunikation von Anforderungen, Erstellung umsetzbarer Tickets/Akzeptanzkriterien und Förderung der Akzeptanz.
• Durchführung von Pull-Request-Überprüfungen mit Fokus auf Sicherheit, Bereitstellung von Leitlinien für Refactorings und Genehmigung/Ablehnung mit klarer Begründung.
• Verwaltung von SAST/Scanning: Überprüfung der Ergebnisse statischer Code-Scans, Triage von Ergebnissen, Eliminierung von Rauschen und Förderung der Behebung mit den Verantwortlichen.
• Erstellung von Referenzimplementierungen in Django/Python (Authentifizierungsmuster, Eingangsvalidierung, Geheimnisverwaltung, Ratenbegrenzung, standortbasierter Zugriff) ohne direkte Verantwortung für die Entwicklung von Produktionsfunktionen.
• Kartierung von SOC2/NIST auf Ingenieurarbeiten: Übersetzung von Anforderungen in Stories, Kontrollen und automatisierte Nachweise in CI/CD.
• Bedrohungsmodellierung & Architektur: Navigation durch Bibliotheken/Architekturen und Dokumentation sicherer Muster (ADRs/RFCs), denen die Teams folgen.
• Überwachung sicherheitsrelevanter Aufgaben im Software-Lieferzyklus (SDLC), um sicherzustellen, dass die Softwareentwicklungsaktivitäten konform bleiben.
• Zusammenarbeit mit Softwareentwicklern und Codebasisleitern.
• Vermittlung zwischen technischen Anforderungen des Unternehmens (Sicherheit, Datenschutz, Compliance) und Entwicklungsteams.
• Teilnahme als Fachexperte für Sicherheitsarchitektur, einschließlich neuer Designs und Designüberprüfungen.
• Empfehlung von Verbesserungen der Anwendungssicherheit basierend auf Best Practices, OWASP-Standards und anderen Sicherheitsrahmen für Webanwendungen.
• Überprüfung von Architektur- und compliancebezogenen Codeänderungen auf Sicherheitsauswirkungen.
• Sicherstellung der Einhaltung aller Unternehmenssicherheitsrichtlinien und -standards.
• Verwaltung und Pflege aller sicherheitsrelevanten Tickets, einschließlich Empfehlungen, Tests und Validierung.

Qualifikationen

• Mindestens 5 Jahre Erfahrung in der Anwendungssicherheit.
• Praxis und Implementierung mit Django/Python mit klarem Fokus auf Anwendungssicherheit.
• Ingenieuhintergrund (Software oder DevOps/SRE) mit der Fähigkeit, Code zu lesen/zu ändern, PRs zu überprüfen und PoCs zu erstellen.
• Erfahrung mit GitHub-Sicherheit, einschließlich Überprüfung statischer Code-Scans, Triage von Ergebnissen, Eliminierung von Rauschen und Förderung der Behebung mit den Verantwortlichen.
• Erfahrung mit der Einbettung eines sicheren SDLC in Git-basierte Workflows und CI/CD (Pre-Commit, Pipeline-Gates, Policy-as-Code).
• Praktisches Wissen über SOC2 und Vertrautheit mit NIST800-53; kann Anforderungen in technische Aufgaben und Nachweise umsetzen.
• Fähigkeit, über Code, App und DevOps (Container, IaC-Grundlagen, Geheimnisse, Protokollierung/Überwachung) zu arbeiten.
• Klare, überzeugende Kommunikation (mündlich und schriftlich) und Priorisierung.
• Exzellente Zeitmanagementfähigkeiten mit nachgewiesener Fähigkeit, Fristen einzuhalten.
• Exzellente zwischenmenschliche und Verhandlungskompetenzen.

Bevorzugte Qualifikationen

• Abschluss in Informatik oder gleichwertige Berufserfahrung.
• CISSP, GIAC, Security+, AWS Security und andere verwandte Sicherheitszertifikate.
• Frühere Erfahrung in der Berichterstattung an oder Partnerschaft mit einem Sicherheitsarchitekten oder als App-Sec-Leiter in einer kleineren Organisation.
• Starke organisatorische Fähigkeiten und Aufmerksamkeit für Details.
• Starke analytische und problemlösende Fähigkeiten.
• Fähigkeit, Aufgaben nach Schweregrad zu priorisieren.
• Fähigkeit, sich an die Bedürfnisse der Organisation anzupassen.
• Versiert in AWS-Sicherheitsdiensten (z.B. CloudWatch, GuardDuty).

Gehalt & Vorteile

Die Gehaltsspanne für diese Rolle liegt zwischen 119.100 und 147.400 USD jährlich, mit einer Zielvergütung von 119.000 bis 131.600 USD basierend auf Erfahrung und Qualifikationen. Die Vergütung richtet sich nach der Erfahrung und umfasst ein großzügiges Rentenpaket. Energy Solutions bietet ein hervorragendes Leistungspaket, einschließlich medizinischer, zahnärztlicher und augenärztlicher Versicherung, anderer steuerfreier Beitragspläne und eines Mitarbeiterbeteiligungsplans (ESOP).

Gleichberechtigter Arbeitgeber

Energy Solutions ist ein Arbeitgeber für Chancengleichheit und verbietet Diskriminierung und Belästigung jeglicher Art. Wir bieten allen Mitarbeitern und Bewerbern gleiche Beschäftigungsmöglichkeiten, unabhängig von Rasse, Hautfarbe, Religion, Geschlecht, sexueller Orientierung, Geschlechtsidentität oder -ausdruck, Schwangerschaft, Alter, nationaler Herkunft, Behinderungsstatus, genetischen Informationen, geschütztem Veteranenstatus oder anderen gesetzlich geschützten Merkmalen. Energy Solutions hält sich sowohl an den Geist als auch an den Buchstaben aller geltenden Gesetze und Vorschriften.