Αρχιτέκτονας Ασφάλειας Εφαρμογών

Η Capital.com αναπτύσσει και λειτουργεί πλατφόρμες συναλλαγών web και κινητών, δημόσια και συνεργατικών APIs, καθώς και τις υποστηρικτικές υπηρεσίες, όλα σε ένα εξαιρετικά ρυθμισμένο περιβάλλον. Ως Αρχιτέκτονας Ασφάλειας Εφαρμογών, θα είστε ο ανώτατος αρμόδιος για το σχεδιασμό της ασφάλειας αυτών των προϊόντων. Θα καθορίσετε τη στρατηγική για την ασφάλεια του λογισμικού σε μεγάλη κλίμακα: θα είστε υπεύθυνοι για πρότυπα ασφαλούς σχεδιασμού, την καθοδήγηση μοντελοποίησης απειλών και ανασκοπήσεων αρχιτεκτονικής, καθώς και για τον ορισμό των βασικών απαιτήσεων ασφάλειας εφαρμογών που ακολουθούν οι μηχανικοί.

Θα συνεργάζεστε στενά με την ομάδα Ασφάλειας Προϊόντος και τον Διευθυντή Ασφάλειας Προϊόντος, καθοδηγώντας τις διαδικασίες Ασφάλειας Εφαρμογών και ορίζοντας το όραμα για τον τομέα σας χωρίς απευθείας γραμμική διαχείριση. Θα αντιμετωπίζετε την ασφάλεια ως κοινό αποτέλεσμα και όχι ως εμπόδιο, εξισορροπώντας την ισχυρή προστασία με την εμπειρία των προγραμματιστών και την ταχύτητα παράδοσης, κερδίζοντας την υιοθέτηση μέσω ενδυνάμωσης και όχι υποχρεώσεων.

Αρμοδιότητες:

• Αρχιτεκτονική Ασφάλειας & Πρότυπα:
  • Ορισμός και διατήρηση ασφαλών προτύπων αναφοράς για κοινά μοτίβα: web εφαρμογές, backend κινητών, μικροϋπηρεσίες, δημόσια και συνεργατικά APIs, και υπηρεσίες συμβάντων.
  • Υπευθυνότητα για βασικές αποφάσεις αρχιτεκτονικής ασφάλειας εφαρμογών: αυθεντικοποίηση και εξουσιοδότηση, διαχείριση συνεδριών, ασφάλεια API, διαχείριση μυστικών, πολυενοικιαστική απομόνωση, καταγραφή και έλεγχος ασφάλειας.
  • Ηγεσία στον επανασχεδιασμό της αυθεντικοποίησης χρηστών και παράδοση λειτουργιών ασφάλειας στο προϊόν.
  • Ανάπτυξη και διάθεση προτύπων ασφάλειας εφαρμογών, οδηγιών ασφαλούς κωδικοποίησης, προτύπων διαμόρφωσης, επαναχρησιμοποιούμενων σχεδιαστικών προτύπων, και εγγράφων αποφάσεων αρχιτεκτονικής (ADR) που οι μηχανικοί μπορούν να εφαρμόσουν χωρίς ειδικό ασφαλείας.
  • Καθορισμός εσωτερικών πολιτικών για τη χρήση AI-βοηθούμενων εργαλείων και εργαλείων vibe-coding με ασφάλεια.
  • Ορισμός απαιτήσεων ασφάλειας για εξαγορασμένη τεχνολογία και καθοδήγηση της ασφαλούς ενσωμάτωσής της.
• Μοντελοποίηση Απειλών & Ανασκόπηση Σχεδιασμού:
  • Εγκαθίδρυση και λειτουργία μοντέλου μοντελοποίησης απειλών, καλύπτοντας εύρος, ρυθμό, πρότυπα και διευκόλυνση, αναλόγως του επιπέδου κινδύνου κάθε προϊόντος.
  • Υπευθυνότητα για το στάδιο ανασκόπησης ασφάλειας της διαδικασίας έγκρισης νέου προϊόντος, καλύπτοντας αρχιτεκτονικό σχεδιασμό και διαμόρφωση.
  • Οδήγηση ανασκοπήσεων σχεδιασμού για πρωτοβουλίες υψηλού αντίκτυπου: νέα προϊόντα, νέες ροές αυθεντικοποίησης, ροές πληρωμών και ευαίσθητων δεδομένων, μεταφορές πλατφόρμας και σημαντικές αναδιαρθρώσεις.
  • Αναγνώριση κινδύνων σε επίπεδο σχεδιασμού και συμφωνία πρακτικών, προτεραιοποιημένων μέτρων με τις ομάδες μηχανικών.
• Ασφαλής SDLC, DevSecOps & Εφοδιαστική Αλυσίδα:
  • Αξιολόγηση της τρέχουσας κατάστασης ασφάλειας εφαρμογών, προτάσεις βελτίωσης και προώθηση της στρατηγικής ασφαλούς SDLC με τη διεύθυνση Μηχανικών και Ασφάλειας.
  • Εποπτεία διαδικασιών Ασφάλειας Εφαρμογών και διαχείριση της στρατηγικής εργαλείων (SAST, DAST, IAST, SCA, σάρωση μυστικών), συμπεριλαμβανομένης της επιστροφής ευρημάτων στις ομάδες μηχανικών.
  • Ενσωμάτωση ελέγχων ασφάλειας ως ζώνες ασφαλείας σε CI/CD μέσω πολιτικής ως κώδικα, με συμφωνημένες διαδικασίες επιβολής και κλιμάκωσης.
  • Συνεργασία με DevOps για οργάνωση διαχείρισης αποθετηρίων και αποτροπή επιθέσεων στην αλυσίδα εφοδιασμού, καλύπτοντας ασφαλή χρήση συστατικών, διαχείριση εξαρτήσεων, SBOMs και ακεραιότητα κατασκευών.
  • Βελτίωση της ασφάλειας των εσωτερικών εργαλείων μας.

Απαιτήσεις:

• Εμπειρία:
  • Πάνω από 8 χρόνια στην τεχνολογία, εκ των οποίων τουλάχιστον 5 χρόνια σε αφιερωμένο ρόλο ασφάλειας εφαρμογών ή προϊόντων, με ισχυρό μηχανικό υπόβαθρο και πρακτική ευθύνη αρχιτεκτονικής ή σχεδιασμού.
  • Αποδεδειγμένο ιστορικό δημιουργίας, τεκμηρίωσης και εφαρμογής προτύπων ασφάλειας, μοτίβων και βέλτιστων πρακτικών σε πολύπλοκο οργανισμό μηχανικών.
  • Βαθιά, αποδεικτική εμπειρία μοντελοποίησης απειλών σε χαρτοφυλάκια προϊόντων.
• Τεχνικά:
  • Εμπειρία σχεδιασμού και υλοποίησης ασφαλούς SDLC σε cloud-native περιβάλλον. Απαραίτητη γνώση AWS, προτιμητέα η έκθεση σε GCP ή άλλα cloud.
  • Ισχυρή γνώση προτύπων OWASP (Top 10, ASVS) και πρακτικών DevSecOps, συμπεριλαμβανομένων εργαλείων AppSec (SAST, DAST, IAST, SCA, σάρωση μυστικών) και διαχείριση ευπαθειών.
  • Βαθιά κατανόηση σύγχρονων κατανεμημένων αρχιτεκτονικών: μικροϋπηρεσίες, REST και GraphQL APIs, συστήματα event-driven, OAuth2/OIDC και δομημένα workflows (Docker, Kubernetes). Ικανότητα ανάλυσης ορίων εμπιστοσύνης, επιφάνειας επίθεσης και ροών δεδομένων σε web και mobile clients.
• Συνεργασία:
  • Εξαιρετική ικανότητα επιρροής και ευθυγράμμισης ομάδων μηχανικών χωρίς άμεση εξουσία και ικανότητα παρουσίασης σε μηχανικούς και στελέχη.
  • Πραγματισμός και στρατηγική σκέψη: ισορροπία μεταξύ ιδανικού και εφικτού, προστασία της ταχύτητας παράδοσης και μετατροπή μακροπρόθεσμης κατεύθυνσης σε εφαρμόσιμο σχέδιο.
  • Καθαρή γραπτή επικοινωνία μέσω διαγραμμάτων, ADRs και μοτίβων, με ιστορικό καθοδήγησης και διεπιστημονικής συνεργασίας.

Επιθυμητά:

• Εμπειρία σε fintech, trading, brokerage ή άλλο ρυθμιζόμενο περιβάλλον.
• Ενημέρωση για σχετικούς ρυθμιστικούς και συμμορφωτικούς παράγοντες: FCA και CySEC λειτουργική ανθεκτικότητα, GDPR και PCI DSS.
• Ασφάλεια αλυσίδας εφοδιασμού λογισμικού, συμπεριλαμβανομένων SBOMs και ακεραιότητας artifact και κατασκευής.
• Εμπειρία με ασφάλεια λειτουργιών AI ενσωματωμένων προϊόντων ή χρήση AI για κλιμάκωση προγράμματος AppSec.
• Εμπειρία στη δημιουργία ή λειτουργία προγράμματος Security Champions.
• Πιστοποιήσεις όπως CSSLP, GIAC GDSA ή πρακτική πιστοποίηση offensivce security. Οι πιστοποιήσεις εκτιμώνται αλλά έχουν δευτερεύουσα σημασία σε σχέση με την αποδεδειγμένη εμπειρία.

Τι προσφέρουμε:

• Εργασία σε εταιρεία που σέβεται την ισορροπία εργασίας και προσωπικής ζωής.
• Ετήσιο μπόνους βάσει κύκλου αξιολόγησης απόδοσης.
• Γενναιόδωρη πολιτική ετήσιας άδειας.
• Ιατροφαρμακευτική ασφάλιση και ταμείο συντάξεων, με επιπρόσθετα πακέτα παροχών ανάλογα με την τοποθεσία.
• Υβριδικό μοντέλο εργασίας (3 ημέρες από το σύγχρονο γραφείο και 2 ημέρες πλήρως εξ αποστάσεως).
• Ολοκληρωμένη πολιτική Workation με 30 επιπλέον ημέρες εξ αποστάσεως εργασίας.
• Δυνατότητα λήψης δύο επιπλέον ημερών αμειβόμενης άδειας ετησίως για εθελοντική εργασία.

Η Capital.com δημοσιεύει αυτή τη θέση στην επίσημη ιστοσελίδα καριέρας της. Οι αιτήσεις στέλνονται απευθείας στην Capital.com: χρησιμοποιήστε το κουμπί Αίτησης σε αυτή τη σελίδα.