Lead Security Engineer in Sachseln

Diese Position wird im Auftrag eines Partnerunternehmens ausgeschrieben, das alle Anwendungen und nächsten Schritte verwaltet. Unser Partner sucht einen Lead Security Engineer mit Sitz in der Schweiz. Wir suchen einen praktischen Lead Security Engineer, der die Sicherheitsstrategie innerhalb einer vollständig remote arbeitenden, global verteilten Technologieorganisation definiert und vorantreibt. In dieser Rolle übernehmen Sie die Verantwortung für Anwendungssicherheit, Infrastruktur­schutz, Compliance und Vorfallmanagement, während Sie die Sicherheitsstandards einer sich entwickelnden SaaS-Plattform mitgestalten. Sie arbeiten eng mit den Engineering-Teams zusammen, um Sicherheit während des gesamten Entwicklungszyklus zu integrieren, insbesondere wenn KI-gestützte Tools, Agenten und Integrationen das Produktökosystem erweitern. Durch die Kombination von strategischer Führung mit praktischer Technik identifizieren Sie Schwachstellen, bauen Sicherheitsautomatisierung auf und stärken die operationale Resilienz. Dies ist eine Gelegenheit, einen signifikanten Einfluss in einem schlanken, vertrauensvollen Umfeld zu haben, in dem Zusammenarbeit, Autonomie und Innovation entscheidend sind.

Verantwortlichkeiten

• Definieren und Leiten der gesamten Sicherheitsstrategie und Roadmap, Prioritäten festlegen, Standards setzen und die Ausführung in der Organisation vorantreiben.
• Sicherheitslücken identifizieren und praktische Lösungen entwickeln, einschließlich des Aufbaus von Tools, Automatisierung und Prozessen zusammen mit anderen Sicherheitsingenieuren.
• Sicherheit in den Softwareentwicklungszyklus integrieren durch Pull-Request-Überprüfungen, Bedrohungsmodellierung, Abhängigkeitsmanagement, Geheimniserkennung und Sicherheit der Software-Lieferkette.
• Operationale Sicherheit stärken, während ein flexibles, vertrauensvolles Arbeitsumfeld aufrechterhalten wird und Praktiken mit Branchenstandards in Einklang gebracht werden.
• Tagtägliche Sicherheitsoperationen verwalten, einschließlich Sicherheitsanfragen, interner Unterstützung, Wartung und kontinuierlicher Verbesserungen, während manuelle Prozesse wo immer möglich automatisiert werden.
• Leiten von Sicherheitsvorfällen von der Erkennung bis zur Lösung, einschließlich Vorfallkommunikation, Kundenupdates und Nachbesprechungen.
• Teilnahme an der unternehmensweiten Bereitschaftsrotation, Organisation von Vorfallreaktionsübungen und Sicherstellung, dass identifizierte Sicherheitslücken adressiert werden.
• Bewertung und Sicherung von KI-gestützten Systemen, einschließlich interner Agenten, MCP-Server, Connectoren und KI-Funktionen im Produkt, durch Durchführung von Bedrohungsmodellierungen und Festlegung geeigneter Schutzmaßnahmen.
• Verwaltung von Aktivitäten zur Offenlegung von Schwachstellen, Bewertung externer Sicherheitsberichte, Priorisierung legitimer Befunde und Koordination der Behebung.
• Überwachung von Compliance-Initiativen, insbesondere SOC 2 und Meta-Plattform-Compliance, um sicherzustellen, dass Kontrollen die tatsächliche Sicherheit verbessern und nicht nur Audit-Anforderungen erfüllen.
• Unterstützung von Kundenvertrauensinitiativen durch Beantwortung von Sicherheitsfragebögen, Zusammenarbeit mit kundenorientierten Teams und Entwicklung von Ressourcen wie einem Trust Center.
• Partnerschaft mit Produktentwicklungsteams bei technischen Spezifikationen, Sicherheitsüberprüfungen und der Entwicklung von Sicherheitschampions in der gesamten Organisation.

Anforderungen

Der ideale Kandidat ist ein erfahrener Sicherheitsprofi, der technische Tiefe, unabhängige Führung und eine kollaborative Denkweise kombiniert. Sie sollten sich wohlfühlen, die Richtung vorzugeben, komplexe Sicherheitsherausforderungen praktisch zu lösen und Ingenieursentscheidungen in einer verteilten Umgebung zu beeinflussen. Die folgenden Qualifikationen und Fähigkeiten werden erwartet:

• Umfangreiche Erfahrung als Senior Security Engineer oder Sicherheitsleiter, idealerweise als der erfahrenste Sicherheitsspezialist in einer Organisation ohne CISO über Ihnen.
• Starke praktische Expertise in Anwendungssicherheit und API-Sicherheit innerhalb von Multi-Tenant-SaaS-Umgebungen, vorzugsweise mit öffentlichen APIs.
• Tiefes Verständnis von Autorisierungsmodellen, OAuth, OIDC, Authentifizierung und Sitzungsmanagement, IDOR, SSRF und Bedrohungsmodellierung.
• Nachgewiesene Fähigkeit, Sicherheitsanfälligkeiten zu identifizieren, zu untersuchen und zu beheben, anstatt sie nur zu melden.
• Starke Programmierkenntnisse, insbesondere in TypeScript, mit der Fähigkeit, bestehende Codebasen zu navigieren, zu ändern und zu ergänzen. Vertrautheit mit PHP und Python ist ebenfalls wertvoll.
• Erfahrung in der Leitung von Sicherheitsvorfällen von Anfang bis Ende, einschließlich technischer Reaktion, Kommunikation mit Stakeholdern, Kundenupdates und umsetzbaren Nachbesprechungen.
• Praktisches Wissen über AWS, Kubernetes und Cloudflare oder vergleichbare Technologien, mit der Fähigkeit, Infrastruktur­risiken zu bewerten und effektiv mit Infrastrukturteams zusammenzuarbeiten.
• Erfahrung in der Verwaltung oder Mitwirkung an SOC 2 oder ähnlichen Compliance-Programmen, idealerweise mit Schwerpunkt auf der Automatisierung der Beweissammlung.
• Frühere Erfahrung in der Durchführung oder Triagierung von Aktivitäten zur Offenlegung von Schwachstellen oder Bug-Bounty-Programmen, mit der Fähigkeit, echte Sicherheitsprobleme von minderwertigen Berichten zu unterscheiden.
• Starke Kommunikations- und Stakeholder-Managementfähigkeiten, einschließlich des Selbstbewusstseins, technische Entscheidungen konstruktiv herauszufordern und auf effektive Lösungen hinzuarbeiten.
• Vertrautheit mit modernen KI-Tools und deren praktischen Anwendungen sowie ein starkes Verständnis der Sicherheitsrisiken, die mit KI-gestützten Systemen und Agenten verbunden sind.
• Fähigkeit, in remote, asynchronen Umgebungen zu gedeihen, mit hervorragender schriftlicher Kommunikation, klarer Dokumentation, Verantwortlichkeit und konsequentem Follow-through.

Technisches Umfeld:

• Produkt: Node.js, TypeScript, MongoDB, REST APIs, PHP Legacy-Dienste, iOS- und Android-Anwendungen, GraphQL API, MCP-Server, CLI und Connectoren.
• Infrastruktur: AWS (EKS, IAM, SQS, S3, CloudFront), Terraform, ArgoCD, GitHub Actions und Cloudflare (WAF, Zero Trust, Workers, DNS).
• Sicherheit und Compliance: Vanta, Dependabot, gitleaks, AWS GuardDuty, Cloudflare WAF und Zero Trust, Action1, 1Password und Google Workspace.
• Beobachtbarkeit und Vorfallmanagement: Datadog, Sentry, incident.io und PagerDuty.
• KI-Ökosystem: Claude Team, intern entwickelte KI-Agenten und MCP-Server sowie KI-Funktionen im Produkt.
• Erfahrung mit Social-Media-Management-Plattformen oder Vertrautheit mit dem Produktökosystem ist ein zusätzlicher Vorteil.

Vorteile

• Wettbewerbsfähige Vergütung: Jährliches Grundgehalt zwischen 171.100 und 222.880 USD.
• Eigenkapital: Zusätzliche Eigenkapitalmöglichkeiten als Teil des Gesamtvergütungspakets.
• Vollständig remote Arbeit: Treten Sie einem global verteilten Team bei und arbeiten Sie remote.
• Zeitzonenflexibilität: Offen für Kandidaten zwischen UTC-3 und UTC+3 zur Unterstützung der Zusammenarbeit und gemeinsamen Vorfallabdeckung.
• Transparente Vergütungspolitik: Ein Engagement für faire, einfache, großzügige und transparente Gehalts- und Eigenkapitalpraktiken.
• Internationale Zusammenarbeit: Möglichkeiten, sich zu vernetzen und mit Kollegen aus verschiedenen Ländern und Hintergründen zu arbeiten.
• Jährliche Teambesprechungen: Ein oder zwei persönliche Teamtreffen pro Jahr zur Stärkung von Beziehungen und Zusammenarbeit.
• Inklusive Arbeitsplatz: Ein starkes Engagement für Vielfalt, Chancengleichheit und die Schaffung eines Umfelds, in dem unterrepräsentierte Gruppen gedeihen können.