Staff Systems Engineer - Product Security

FERNRIDE ist ein Arbeitgeber, der Chancengleichheit bietet. Wir setzen uns für Vielfalt, Gleichheit, Inklusion und Zugehörigkeit ein, weil wir die Unterschiede und die Individualität jedes Einzelnen wertschätzen und feiern. Wir streben danach, einen offenen, sicheren Raum zu schaffen, in dem Sie sich ermächtigt und authentisch fühlen.

Der Quantum Systems Land Domain entwickelt führende autonome UGV-Technologie für die Verteidigung — ein Bereich, in dem es kein Blueprint gibt. Die Produktstrategie beginnt mit einem UGV, das auf den heutigen Schlachtfeldern nützlich ist und mit aktueller Technologie gebaut werden kann, und erhöht schrittweise die Autorität des Autonomie-Systems, während der Bedarf an menschlicher Aufsicht verringert wird — über immer komplexere Betriebsumgebungen bis hin zu vollständig autonomem Betrieb in der Nähe von Zivilisten.

Als Senior-Cybersicherheitsexperte sind Sie verantwortlich für die Gestaltung der Produktsicherheit von Grund auf: Definieren Sie die Bedrohungslandschaft, bauen Sie die Sicherheitsprozesse auf und treiben Sie die Verteidigungstiefe über die Plattform voran. Sie arbeiten eng mit System-Sicherheitsingenieuren, Design Assurance, Hardware-/Software-Engineering-Teams und V&V zusammen, um sicherzustellen, dass Cybersicherheit über den gesamten Produktlebenszyklus eingebettet ist. Mit der Reifung des Produkts werden Sie Ihr Fachgebiet zu einem Team ausbauen.

Was Sie bearbeiten werden / Wie Sie Ihren Fußabdruck hinterlassen:

• Aufbau und Gestaltung des Bewusstseins und des Managements für Cybersicherheit im Produktbereich.
• Durchführung von Bedrohungsanalysen und Risikoabschätzungen (TARA) — Identifizierung von Vermögenswerten, Modellierung von Bedrohungsszenarien und Angriffswegen, Bewertung der Angriffsrealität und -auswirkungen sowie Bestimmung der Cybersicherheitsgarantien.
• Definition und Pflege von Angreifer- und Vermögensmodellen — Profile von Gegnern, Klassifizierungen der Kritikalität von Vermögenswerten und Sicherheitsdomänen-Grenzen.
• Spezifikation von Sicherheitskontrollen — Maßnahmen zur Verteidigungstiefe einschließlich Netzwerksegmentierung, Zugangskontrolle, Authentifizierung, Verschlüsselung, sichere Bootvorgänge und Eindringungserkennung.
• Definition der technischen Sicherheitsarchitektur — Sicherheitsdomänen, Vertrauensgrenzen, sichere Kommunikationskanäle und Schlüsselmanagementstrategie.
• Verantwortung für die Sicherheit der Lieferkette — Bewertung von Drittanbieterkomponenten auf bekannte Schwachstellen, Definition sicherer Beschaffungsanforderungen und Verwaltung des SBOM.
• Definition der Anforderungen an den sicheren Entwicklungslebenszyklus und Abstimmung mit den Engineering-Teams zu sicherheitsrelevanten Codierungspraktiken und CI/CD-Pipeline-Sicherheit.
• Verantwortung für die Akzeptanz von Cybersicherheitsrisiken — Präsentation von Argumenten zur verbleibenden Bedrohungsrisiko und Empfehlung von Bedingungen für die Sicherheitslage bei der Produktfreigabe.
• Definition operativer Sicherheitsmaßnahmen — Verfahren zur Vorfallreaktion, Sicherheitsüberwachung, Update-/Patch-Management und Schlüsselrotation.
• Pflege von Dokumenten zum Cybersicherheitskonzept und von Compliance-Matrizen (Cyber Resilience Act, Sicherheitsklauseln der Richtlinie über Funkanlagen, Sicherheitsklauseln des AI Act).
• Koordination mit System Safety zu Bedrohungslandschaftseingaben für die Gefahrenanalyse (cyber-physische Angriffswege), Abstimmung der operativen Sicherheits- und Sicherheitsmaßnahmen sowie der Sicherheits-Sicherheits-Interaktionen an Modusübergangsgrenzen.
• Koordination mit Design Assurance zu gemeinsamen technischen Architekturen — Entscheidungen zu fehlersicheren vs. fehlersicheren Ansätzen, Auswahlkriterien für Komponenten und einheitlichen Softwareentwicklungsrichtlinien.
• Übersetzung von Sicherheitskontrollen in umsetzbare Implementierungsrichtlinien für Engineering-Teams; Überprüfung von Designs auf Angriffsoberflächenexposition.
• Definition des Umfangs von Penetrationstests, Angriffs-Simulationsszenarien und Akzeptanzkriterien für V&V; Überprüfung und Annahme von V&V-Nachweisen für Cybersicherheitsansprüche.
• Koordination mit der Kerngruppe von Quantum Systems zu Sicherheitsaspekten des C3-Systems (MOSAIC) und Multi-Domain-Operationen.
• Entwicklung und Pflege von KI-unterstützten Workflows für Sicherheitsanalysen und Compliance-Audits.

Was Sie ins Team einbringen:

• Tiefe Expertise im Management und in der Technik der Cybersicherheit für eingebettete Systeme, mit einer ingenieurtechnischen Denkweise und praktischer Einstellung.
• Verständnis von IT- und eingebetteten Systemtechnologien sowie modernen Sicherheitskontrollen und -ansätzen.
• Erfahrung mit Bedrohungsanalysen und Risikoabschätzungen (TARA), Angreifermodellierung und Architektur der Verteidigungstiefe für ressourcenbeschränkte Plattformen.
• Erfahrung mit der Sicherheit der Lieferkette — CVE-Tracking, SBOM-Management, sichere Beschaffungsanforderungen.
• Verständnis der Praktiken des sicheren Entwicklungslebenszyklus — Code-Überprüfung, statische Analyse, Abhängigkeitsprüfung, CI/CD-Sicherheitsgates.
• Starke Zusammenarbeit — Sie arbeiten eng mit Sicherheitsingenieuren, Hardware-/Software-Teams und V&V zusammen, um praktikable Lösungen zu finden, die keine inakzeptablen Cybersicherheitsrisiken verursachen.
• Interesse an KI-unterstützten Ingenieur-Workflows und die Bereitschaft, zu gestalten, wie KI-Tools die Sicherheitsanalyse und das Compliance-Management unterstützen.
• Komfortables Arbeiten mit Softwareentwicklungstools — GitHub, VS Code, Bazel, Markdown, CI/CD-Pipelines — um die KI-unterstützte Methodik zu betreiben und weiterzuentwickeln.

Schön zu haben:

• Praktisches Wissen über ISO 21434, IEC 62443-Serie, EU Cyber Resilience Act, Richtlinie über Funkanlagen (Sicherheitsaspekte) und AI Act (Sicherheitsaspekte).

Was wir bei FERNRIDE anbieten:

• Flexible Arbeitszeiten & Homeoffice
• Ganztägiges Frühstück und unbegrenzte Getränke, Obst und Snacks
• Mittagszuschuss
• Wählen Sie eine von drei Optionen: (1) EUR 40 Spendit-Karte / Monat (2) Wellpass (3) Mobilitätskarte
• Betriebliche Altersvorsorge
• Team-, Abteilungs- und Unternehmensveranstaltungen
• 30 Tage Urlaub
• Bis zu sechs Wochen Homeoffice in Ländern, die unter die EHIC (Europäische Krankenversicherungskarte) fallen