Архітектор безпеки застосунків

Capital.com розробляє та управляє веб та мобільними торговими платформами, публічними і партнерськими API, а також бекенд-сервісами у суворо регульованому середовищі. На посаді Архітектора безпеки застосунків ви будете старшим відповідальним за дизайн безпеки цих продуктів. Ви встановите напрямок, як ми захищаємо програмне забезпечення в масштабі: станете власником патернів і стандартів безпеки за замовчуванням, очолюватимете моделювання загроз та огляди архітектури, а також визначите базові стандарти безпеки застосунків, на яких базуються команди інженерів.

Працюючи тісно з командою продуктового захисту та директором з продуктової безпеки, ви керуватимете процесами AppSec і визначите бачення у вашій сфері без прямого управління. Ви розглядатимете безпеку як спільний результат замість перепони, балансуєте міцний захист з комфортом для розробників і швидкістю доставки, а впровадження досягатимете шляхом підтримки, а не примусів.

Обов'язки:

• Архітектура безпеки та стандарти:
  • Визначення та підтримка архітектур безпеки за замовчуванням для типових моделей: веб-додатки, мобільні бекенди, мікросервіси, публічні та партнерські API, подійно-орієнтовані сервіси
  • Відповідальність за основні рішення з безпеки застосунків: автентифікація та авторизація, управління сесіями, безпека API, управління секретами, ізоляція багатокористувацьких середовищ, логування та аудит безпеки
  • Керівництво перебудовою автентифікації користувачів та впровадженням функцій безпеки у продукт
  • Розробка та впровадження стандартів безпеки застосунків, рекомендацій з безпечного кодування, стандартів конфігурації, повторно використовуваних патернів дизайну та записів рішень архітектури (ADR), які інженери можуть застосовувати без участі експерта з безпеки
  • Визначення внутрішніх політик щодо безпечного використання інструментів з підтримкою ШІ та vibe-coding
  • Встановлення вимог безпеки для придбаних технологій та керівництво їх безпечною інтеграцією
• Моделювання загроз та огляди дизайну:
  • Створення та ведення операційної моделі моделювання загроз, що визначає область, частоту, шаблони та фасилітацію згідно з ризиковим рівнем продукту
  • Відповідальність за етап огляду безпеки у процесі затвердження нових продуктів, що включає дизайн архітектури та конфігурації
  • Керівництво оглядами дизайну для високовпливових ініціатив: нові продукти, нові процеси автентифікації, потоки платежів і обробки конфіденційних даних, міграції платформи та великі рефакторинги
  • Виявлення ризиків на рівні дизайну та узгодження практичних, пріоритетних заходів з командами інженерів
• Безпечний SDLC, DevSecOps та ланцюг постачання:
  • Оцінка поточного стану безпеки застосунків, пропозиції щодо покращень і впровадження стратегії безпечного життєвого циклу розробки разом з лідерами інженерії та безпеки
  • Керівництво процесами AppSec та стратегією інструментів (SAST, DAST, IAST, SCA і сканування секретів), включно з тим, як результати надходять назад до інженерів
  • Вбудування контрольних механізмів безпеки як обмежень у CI/CD через policy-as-code з погодженими шляхами примусового виконання та ескалації
  • Співпраця з DevOps для організації управління репозиторіями та запобігання атак ланцюга постачання, що включає безпечне використання компонентів, управління залежностями, SBOM та цілісність збірок
  • Покращення безпеки внутрішніх інструментів

Вимоги:

• Досвід:
  • 8+ років у сфері технологій, з них 5+ років у спеціалізованій ролі щодо безпеки застосунків або продуктів, з міцною інженерною базою та досвідом керівництва архітектурою чи дизайном
  • Підтверджений досвід створення, документування та впровадження стандартів безпеки, патернів і кращих практик у складній інженерній організації
  • Глибокий практичний досвід моделювання загроз по продуктових портфоліо
• Технічні навички:
  • Досвід проектування та впровадження безпечного SDLC в хмарному середовищі. Вимагається сильне знання AWS, бажаний досвід з GCP або іншими хмарами
  • Глибоке знання стандартів OWASP (Top 10, ASVS) та практик DevSecOps, включно зі знанням інструментів AppSec (SAST, DAST, IAST, SCA, сканування секретів) і управління вразливостями
  • Поглиблене розуміння сучасних розподілених архітектур: мікросервіси, REST і GraphQL API, системи подій, OAuth2/OIDC та контейнеризованих робочих навантажень (Docker, Kubernetes). Здатність аналізувати межі довіри, поверхню атаки та потоки даних між веб та мобільними клієнтами
• Співпраця:
  • Відмінна здатність впливати та узгоджувати роботу інженерних команд без прямої влади, а також доповідати інженерам та керівництву
  • Прагматизм та стратегічне мислення: баланс між ідеалом і реальністю, захист пропускної здатності доставки, та перетворення довгострокових планів на дієвий план
  • Чітка письмова комунікація через діаграми, ADR та патерни, а також досвід наставництва та крос-функціональної співпраці

Бажано:

• Досвід у fintech, трейдингу, брокерських послугах або іншому регульованому середовищі
• Обізнаність із відповідними регуляторними та комплаєнс-вимогами: FCA та CySEC операційна стійкість, GDPR та PCI DSS
• Безпека ланцюга постачання програмного забезпечення, включно з SBOM та цілісністю артефактів і збірок
• Досвід захисту продуктів з інтеграцією штучного інтелекту або використання ШІ для масштабування програми AppSec
• Досвід створення або управління програмою Security Champions
• Сертифікації CSSLP, GIAC GDSA або практичні сертифікації з offensive security. Сертифікати цінуються, але важливіше підтверджений досвід

Що ви отримаєте натомість:

• Приєднання до компанії, що піклується про баланс роботи та життя
• Щорічна премія за результатами оцінки ефективності
• Щедра політика щорічної відпустки
• Медичне страхування та пенсійний фонд, а також додаткові пакети переваг залежно від локації
• Гібридний режим роботи (3 дні у сучасному офісі та 2 дні повністю віддалено)
• Всеохопна політика Workation з 30-ма додатковими віддаленими днями
• Можливість отримати два додаткові оплачувані дні на рік для волонтерської діяльності

Вакансія опублікована безпосередньо на сайті кар'єри Capital.com. Заявки надсилайте безпосередньо Capital.com за допомогою кнопки "Apply" на цій сторінці.