Application Security Engineer

Über das Unternehmen: Die Mission des Unternehmens ist es, zuverlässige, interpretierbare und steuerbare KI-Systeme zu schaffen. Wir möchten, dass KI sicher und vorteilhaft für unsere Nutzer und die Gesellschaft als Ganzes ist. Unser Team ist eine schnell wachsende Gruppe engagierter Forscher, Ingenieure, Politikspezialisten und Geschäftsleiter, die gemeinsam daran arbeiten, nützliche KI-Systeme zu entwickeln.

Über die Rolle: Das Application Security-Team steht an der Spitze der Integration von Sicherheit in jede Phase des Softwareentwicklungszyklus im Unternehmen. In dieser praktischen technischen Rolle werden Sie eng mit unseren Softwareingenieuren und Forschern zusammenarbeiten, um sicherzustellen, dass Sicherheit von der ersten Entwurfsphase bis zur Implementierung ein zentrales Anliegen ist. Sie werden Bedrohungsmodellierungen und sichere Entwurfsüberprüfungen leiten, um Risiken frühzeitig proaktiv zu identifizieren und zu mindern, und helfen bei der kontinuierlichen Risikobewertung. Sie werden Werkzeuge und Systeme entwickeln, um Entwicklern zu helfen, Code sicher zu versenden und bewährte Praktiken für sicheres Codieren einzuhalten.

Ihre Einblicke werden unsere Werkzeuge, Erkennungsfähigkeiten und Abwehrmaßnahmen gegen aufkommende Bedrohungen für KI/ML prägen. Sie werden die Standards, Prozesse und Schulungsressourcen entwickeln, die es allen Ingenieuren des Unternehmens ermöglichen, Sicherheitschampions zu sein. Diese hochwirksame Rolle erfordert einen Sicherheitsexperten, der wie ein Angreifer denken kann, eine Entwicklermentalität hat und starke Beziehungen aufbauen kann.

Verantwortlichkeiten:

• Helfen Sie, KI-Produkte und interne Tools abzusichern, die neuartige Sicherheitsrisiken einführen und etablierte Sicherheitsgrenzen überschreiten.
• Leiten Sie „Shift Left“-Sicherheitsbemühungen, um Sicherheit in den Softwareentwicklungszyklus zu integrieren.
• Durchführen von sicheren Entwurfsüberprüfungen und Bedrohungsmodellierungen. Identifizieren und priorisieren Sie Risiken, Angriffsflächen und Schwachstellen.
• Entwickeln Sie Werkzeuge, um Sicherheitscodeüberprüfungen zu skalieren und auf Fragen von Entwicklern zu reagieren, einschließlich der Beratung von Entwicklern zur Behebung von Schwachstellen und zur Einhaltung sicherer Codierungspraktiken.
• Verwalten Sie das Schwachstellenmanagementprogramm des Unternehmens, einschließlich der Integration von Datenaufnahme-Pipelines, Codierungslogik zur Priorisierung von Schwachstellenbehebungen, Unterstützung von Teams bei der Behebung von Schwachstellen und Entwicklung automatisierter Systeme im großen Maßstab.
• Überwachen Sie das Bug-Bounty-Programm des Unternehmens. Setzen Sie den Umfang fest, validieren Sie Einsendungen, führen Sie Ursachenanalysen durch, koordinieren Sie die Behebung mit den Engineering-Teams und vergeben Sie Prämien. Pflegen Sie Beziehungen zur ethischen Hacker-Community.
• Arbeiten Sie eng mit Produktentwicklern und Forschern zusammen, um bewährte Sicherheitspraktiken zu verankern. Setzen Sie sich für sichere Architektur, Design und Entwicklung ein.
• Entwickeln und dokumentieren Sie Sicherheitsrichtlinien, Standards und Handbücher. Führen Sie Schulungen zur Sicherheitsbewusstseinsbildung für Ingenieure durch.

Sie könnten gut passen, wenn Sie:

• Über 5 Jahre praktische Erfahrung in der Anwendungs- und Infrastruktur-Sicherheit verfügen, einschließlich der Sicherung von cloudbasierten und containerisierten Umgebungen.
• Starke Kenntnisse in mindestens einer Programmiersprache (z.B. Python, Rust, Go, Java) haben.
• Mit Empathie, einem kollaborativen Geist und einer Lernmentalität führen, um funktionsübergreifend mit Ingenieuren aller Ebenen zusammenzuarbeiten, um Sicherheit in den Softwareentwicklungslebenszyklus zu integrieren.
• Kreatives und strategisches Denken nutzen, um Risiken durch sicheres Design und Einfachheit zu reduzieren, nicht nur durch Kontrollen.
• Über umfassendes Sicherheitswissen verfügen, um die Zusammenhänge zwischen verschiedenen Bereichen zu erkennen und ganzheitliche Ansätze zur Verringerung der gesamten Bedrohungsoberfläche zu identifizieren.
• Komplexe Sicherheitskonzepte in klare Maßnahmen umsetzen und Konsens ohne direkte Autorität vorantreiben können.
• Eine proaktive Denkweise verkörpern, um Sicherheit während des gesamten Produktlebenszyklus durch Aktivitäten wie Bedrohungsmodellierung, sichere Codeüberprüfung und Schulung zu verankern.
• Ein starkes Verständnis für offensive Sicherheit haben, um Risiken aus der Perspektive eines Angreifers vorherzusehen, nicht nur Compliance-Anforderungen zu erfüllen.
• Erfahrung mit modernen Anwendungsstacks, Infrastruktur und Sicherheitstools mitbringen, um pragmatische Abwehrmaßnahmen umzusetzen.
• Geübt darin sind, funktionsübergreifend zusammenzuarbeiten und Sicherheitsanforderungen effektiv mit Geschäftszielen in Einklang zu bringen.
• Sich für Sicherheitsgrundlagen wie das Prinzip der minimalen Berechtigung, Verteidigung in der Tiefe und die Beseitigung von Komplexität einsetzen, die die Sicherheit durch intelligentes Design sublinear skalieren könnte.

Starke Kandidaten könnten auch:

• Praktische technische Expertise in der Sicherung komplexer Cloud-Umgebungen und Microservices-Architekturen mit Technologien wie Kubernetes, Docker und AWS / GCP haben.
• Mit offensiven Sicherheitstechniken wie Schwachstellentests, Bug-Bounty, Penetrationstests und Red-Team-Übungen vertraut sein.
• Kenntnisse über Sicherheitsrisiken im Bereich KI/ML wie Prompt-Injection, Datenvergiftung, Modellauszug usw. und deren Minderung haben.
• Erfahrung in der Entwicklung von Sicherheitswerkzeugen, Anwendungen und automatisierten Tools mitbringen.
• Über fundierte Kenntnisse sowohl der Software- als auch der Sicherheitsengineering-Prinzipien verfügen und bereit sind, weiter zu lernen.
• Ausgezeichnete Kommunikationsfähigkeiten besitzen, um komplexe Sicherheitsthemen für breite Zielgruppen verständlich zu machen.
• In schnelllebigen Umgebungen gearbeitet und gedeiht haben und sich wohlfühlen, wenn sie mit Unklarheiten umgehen müssen.

Wir ermutigen Sie, sich zu bewerben, auch wenn Sie nicht glauben, dass Sie jede einzelne Qualifikation erfüllen. Nicht alle starken Kandidaten erfüllen jede einzelne aufgeführte Qualifikation. Studien zeigen, dass Personen, die sich als unterrepräsentiert betrachten, eher dazu neigen, Imposter-Syndrom zu erleben und an der Stärke ihrer Bewerbung zu zweifeln. Daher fordern wir Sie auf, sich nicht vorzeitig auszuschließen und eine Bewerbung einzureichen, wenn Sie an dieser Arbeit interessiert sind.

Ihre Sicherheit liegt uns am Herzen. Um sich vor potenziellen Betrügereien zu schützen, denken Sie daran, dass die Recruiter des Unternehmens Sie nur von E-Mail-Adressen der Domain @thecompany.com kontaktieren. In einigen Fällen können wir mit geprüften Personalvermittlungsagenturen zusammenarbeiten, die sich als Vertreter des Unternehmens identifizieren. Seien Sie vorsichtig bei E-Mails von anderen Domains.