Product Security Engineer II

Мы ищем начинающего инженера по безопасности приложений, который любопытен, умеет работать в команде и комфортно чувствует себя при работе с кодом. Вы будете помогать оценивать риски приложений, поддерживать усилия по управлению уязвимостями, сотрудничать с инженерными командами по вопросам безопасного проектирования и вносить вклад в лёгкие инструменты, автоматизацию и анализ, основанный на коде, которые помогают масштабировать AppSec в рамках Affirm.

• Сотрудничать с командами продукта и разработки для выявления рисков безопасности приложений и формулировать их как чёткие бизнес‑риски, варианты запуска и рекомендованные дальнейшие шаги.
• Читать код приложений, конфигурацию, pull request‑ы, логи и документацию, чтобы понять, как работают системы и где могут возникать риски безопасности.
• Вносить небольшие изменения в код, скрипты, детекторы, тесты, безопасные настройки по умолчанию или автоматизацию, которые улучшают рабочие процессы AppSec и снижают повторяющиеся проблемы.
• Работать в GitHub, просматривать изменения кода, понимать контекст разработки, участвовать в обсуждениях pull request‑ов, отслеживать работу по исправлению и сотрудничать с инженерами.
• Помогать оценивать уязвимости из внутренних тестов, отчётов bug bounty, средств безопасности, penetration testing и других источников; совместно с командами определять приоритеты и устранять проблемы на основе реального риска.
• Вносить вклад в рабочие процессы управления уязвимостями, включая триаж, валидацию, оценку тяжести, рекомендации по исправлению, отслеживание и отчётность.
• Преобразовывать повторяющиеся находки безопасности в повторяемые механизмы, такие как рекомендации по безопасному кодированию, чек‑листы, готовые пути, лёгкая автоматизация, логика обнаружения, переиспользуемые шаблоны ревью или документацию для разработчиков.
• Работать с инженерами, чтобы понять проектирование систем, потоки данных, границы доверия, модели аутентификации и авторизации, пути кода и потенциальные сценарии злоупотребления.
• Чётко коммуницировать вопросы безопасности как технической, так и нетехнической аудитории, включая риск, компромиссы, рекомендованные меры и остаточный риск.
• Строить прочные отношения с командами Affirm и влиять на результаты в области безопасности без формального авторитета.
• Помогать связывать работу AppSec с доверием клиентов, требованиями регуляторов/комплаенса, операционной устойчивостью и бизнес‑результатами.
• Продолжать развивать практические навыки в области атак, защиты и разработки программного обеспечения через реальную работу, лаборатории, инструменты, исследования, сертификаты или вклад в внутренние программы безопасности.

• Более 4 лет опыта в области безопасности приложений, разработки программного обеспечения, инженерии безопасности, управления уязвимостями, penetration testing, security operations или эквивалентного практического опыта.
• Базовые навыки программирования на одном или нескольких языках, таких как Python, JavaScript/TypeScript, Kotlin или аналогичных.
• Умение читать, ориентироваться и рассуждать о коде, даже в незнакомых кодовых базах.
• Опыт работы с Git и GitHub или аналогичными системами контроля версий, включая ветки, коммиты, pull request‑ы, code review, задачи и трекинг проектов.
• Некоторый практический опыт создания, тестирования, разрушения или защиты программного обеспечения. Это может включать профессиональный опыт, стажировки, лаборатории по безопасности, CTF, работу в bug bounty, вклад в open‑source, личные проекты, скрипты автоматизации, внутренние инструменты или учебные задания.
• Способность писать понятные, поддерживаемые скрипты или небольшие программы для решения практических задач, автоматизации ручных процессов, анализа данных, валидации находок или улучшения процессов безопасности.
• Базовое понимание распространённых рисков веб, API, мобильных, облачных и приложенческих систем, таких как проблемы OWASP Top 10, уязвимости аутентификации и авторизации, инъекции, небезопасный дизайн, раскрытие секретов, риски зависимостей и вопросы защиты данных.
• Интерес к offensive security, включая подготовку к сертификатам по безопасности, практику тестирования веб/API, изучение основ разработки эксплойтов, использование инструментов вроде Burp Suite или участие в лабораториях и capture‑the‑flag средах.
• Знакомство с концепциями управления уязвимостями, включая триаж, оценку тяжести, отслеживание исправлений, анализ ложных срабатываний, компенсирующие меры и приоритизацию на основе риска.
• Способность рассуждать о риске и компромиссах, а не только выявлять проблемы. Вы можете объяснить, что может пойти не так, какова вероятность, какой может быть эффект и какие варианты существуют для снижения риска.
• Сильная эмпатия к продукту и инженерии. Вы стремитесь понять цели запуска, технические ограничения, влияние на пользователей и бизнес‑приоритеты перед тем, как предложить путь вперёд.
• Чёткие письменные и устные коммуникативные навыки, включая умение объяснять результаты безопасности в практических, применимых терминах.
• Коллаборативный подход и комфорт работы с командами продукта, разработки, комплаенса, риска, инфраструктуры и безопасности.
• Любознательность, скромность и стремление к росту. Вы активно ищете обратную связь, задаёте хорошие вопросы и продолжаете углублять свои технические знания.
• Оценка безопасности по принципу secure‑by‑design, включая способность замечать шаблоны, предлагать простые контрольные меры и балансировать скорость выпуска с существенным снижением риска.

Base Pay Grade - L

Equity Grade - 5

Базовая зарплата является частью общего пакета компенсаций, который может включать ежемесячные выплаты на здоровье, благополучие и технические расходы, а также льготы (включая 100 % субсидированное медицинское покрытие, стоматологию и зрение для вас и ваших иждивенцев). Кроме того, сотрудники могут иметь право на акции, предлагаемые компанией Affirm Holdings, Inc. (материнская компания).

CAN base pay range per year: CAD $133,000 - $183,000

• Медицинское покрытие без затрат: Мы покрываем 100 % стоимости премий для сотрудников и их иждивенцев.
• Выплаты на расходы: Ежемесячные выплаты поддерживают вашу техническую настройку и позволяют выбирать варианты здоровья и благополучия, которые подходят вам.
• Отпуск для восстановления: Гибкий отпуск и щедрые праздничные календари помогают вам отдохнуть, когда это необходимо.
• Владейте частью того, что создаёте: Наша программа покупки акций сотрудниками (ESPP) позволяет вам приобретать акции Affirm со скидкой.

Мы привержены обеспечению инклюзивного процесса интервью, включая предоставление условий для кандидатов с ограниченными возможностями. Если вам нужна поддержка, мы с радостью поможем.

Для позиций, базирующихся в Сан‑Франциско или Лос‑Анджелесе: Affirm рассматривает квалифицированных соискателей с арестами и судимостями, как того требует закон.