Security Engineer – Product Security (d/f/m)

Personios intelligente HR-Plattform hilft kleinen und mittelständischen Organisationen, die Kraft der Menschen zu entfalten, indem komplizierte, zeitaufwändige Aufgaben einfach und effizient gestaltet werden. Unser Team von 1.500 Personios entwickelt benutzerfreundliche Produkte, die unsere über 15.000 Kunden und deren 1,5 Millionen Mitarbeiter begeistern.

Security ist eine erstklassige Priorität bei Personio. Als Product Security Engineer werden Sie helfen, Sicherheit in alles, was wir bauen, zu integrieren, indem Sie eng mit den Engineering-Teams zusammenarbeiten, um sicherzustellen, dass unsere Plattformen von Anfang an sicher entworfen und entwickelt werden. Sie arbeiten direkt mit Produktentwicklern im gesamten Unternehmen zusammen und balancieren starke Sicherheitsstandards mit pragmatischen, entwicklerfreundlichen Lösungen. Von tiefen technischen Überprüfungen bis hin zu skalierbaren Werkzeugen und Schulungen wird Ihre Arbeit direkte Auswirkungen auf die Sicherheit und das Vertrauen in unsere Produkte und Kunden haben.

Was Sie tun werden:

• Sicherheitstools und Automatisierung: Pflegen und entwickeln Sie unsere Produkt-Sicherheitswerkzeugkette weiter, einschließlich handelsüblicher Tools und interner Bibliotheken, um Sicherheit nahtlos in Entwicklungsabläufe zu integrieren.
• Sicherheitsüberprüfungen und Beratung: Agieren Sie als vertrauenswürdiger Sicherheitspartner für Engineering-Teams durch Designüberprüfungen, Codeüberprüfungen und ad-hoc Beratung, um Risiken frühzeitig zu identifizieren und Probleme zu verhindern, bevor sie in die Produktion gelangen.
• Sicherheitsschulung und -ermächtigung: Fördern Sie das Sicherheitsbewusstsein im Engineering durch das Security Champions Programm, Onboarding-Sitzungen für neue Mitarbeiter und laufende Ermächtigungsinitiativen.
• Sicherheitsoperationen Unterstützung: Nehmen Sie an der Reaktion auf Sicherheitsvorfälle teil, unterstützen Sie interne Stakeholder mit Sicherheitsexpertise, reproduzieren Sie Schwachstellen und führen Sie gelegentlich gezielte interne Penetrationstests durch.
• Externe Partnerverwaltung: Arbeiten Sie mit Sicherheitsanbietern und externen Forschern zusammen, verwalten Sie Bug-Bounty-Interaktionen und koordinieren Sie Penetrationstests mit klarem Umfang und Fokus.
• Sicherheitsdokumentation und Standards: Besitzen und pflegen Sie Sicherheitsrichtlinien, Best-Practice-Richtlinien und Dokumentationen sowie Metriken und Berichterstattung für Stakeholder und Führungskräfte.
• Schwachstellen- und Risikomanagement: Besitzen Sie den gesamten Lebenszyklus von Schwachstellen, von der Entdeckung und Triage über die Nachverfolgung der Behebung, Risikobewertung und Berichterstattung über die allgemeine Sicherheitslage.

Was Sie benötigen, um erfolgreich zu sein:

• Erfahrung: Über 5 Jahre praktische Erfahrung in der Produktsicherheit, offensiver Sicherheit, Systemsicherheit oder gleichwertiger beruflicher Erfahrung.
• Sicherheitsengineering-Grundlagen: Starke Kenntnisse in sicherem Design, minimalen Rechten, Authentifizierungs- und Autorisierungsmustern, Geheimnisverwaltung, Abhängigkeitssicherheit sowie Sicherheitsprotokollierung und -überwachung.
• Bedrohungsmodellierung und Schwachstellenanalyse: Fähigkeit, die reale Ausnutzbarkeit und Angriffswege zu bewerten, indem Sie Code und technische Dokumentation überprüfen.
• Pragmatische Behebungsfähigkeiten: Erfahrung in der Anleitung von Ingenieuren zu Behebungsstrategien über mehrere Sprachen und Frameworks hinweg (z.B. Go, Python, Kotlin, PHP).
• Stakeholder-Zusammenarbeit: Nachgewiesene Fähigkeit, Vertrauen zu Ingenieuren aufzubauen und Sicherheitsbedürfnisse mit der Entwicklererfahrung in Einklang zu bringen.
• Kommunikationsfähigkeiten: Fließendes Englisch, mit der Fähigkeit, komplexe Sicherheitsthemen für technische, nicht-technische und leitende Zielgruppen zu übersetzen.
• Sichere SDLC-Erfahrung: Praktische Erfahrung in der Implementierung und dem Betrieb von SAST, SCA, Geheimnisscanning, Schwachstellenmanagement-Plattformen und deren Integration in CI/CD-Pipelines.
• Ownership-Mindset: Proaktiv, komfortabel mit Unklarheiten und in der Lage, effektiv zu priorisieren, um den Sicherheitsimpact zu maximieren.

Warum Personio: Personio ist ein Arbeitgeber, der Chancengleichheit bietet und sich verpflichtet hat, eine inklusive, werteorientierte Kultur aufzubauen, in der sich jeder unterstützt und befähigt fühlt, seine beste Arbeit zu leisten. Wir schätzen persönliche Zusammenarbeit und bieten gleichzeitig Flexibilität. Diese Rolle ist bürobasiert, mit zwei Tagen pro Woche an Ihrem vertraglich vereinbarten Bürostandort. Die verbleibenden Tage können von zu Hause oder im Büro gearbeitet werden, plus 20 Flex-Tage pro Jahr, um remote von anderen Standorten zu arbeiten. Darüber hinaus bieten wir:

• Ein wettbewerbsfähiges Vergütungspaket, das jährlich überprüft wird, einschließlich Gehalt, Leistungen und Pre-IPO-Eigenkapital.
• 28 Tage bezahlten Urlaub, plus einen zusätzlichen Tag nach 2 und 4 Jahren.
• Ein vollständig bezahlter Impact Day pro Jahr.
• Großzügige Familienurlaubsregelungen, Kinderbetreuung, Unterstützung für psychische Gesundheit und Sabbatical-Möglichkeiten.
• Regelmäßige Teamevents, kulturelle Initiativen, gesunde Snacks, Getränke und wöchentliche Caterings.