Product Security Engineer II

Мы ищем начинающего Application Security Engineer, который любопытен, умеет работать в команде и комфортно работает с кодом. Вы будете помогать оценивать риски приложений, поддерживать усилия по управлению уязвимостями, сотрудничать с инженерными командами по вопросам безопасного проектирования и вносить вклад в лёгкие инструменты, автоматизацию и анализ, основанный на коде, которые помогают AppSec масштабироваться в рамках Affirm.

Эта роль отлично подходит человеку с практическим опытом в разработке программного обеспечения или безопасности, который любит читать и разбирать код, активно развивает навыки offensive security и хочет применять их в продуктово‑ориентированном, основанном на рисках подходе.

• Сотрудничать с командами product и engineering для выявления рисков безопасности приложений и формировать их как чёткие бизнес‑риски, варианты запуска и рекомендованные дальнейшие шаги.
• Читать код приложений, конфигурацию, pull request‑ы, логи и документацию, чтобы понять, как работают системы и где могут возникать риски безопасности.
• Вносить небольшие изменения в код, скрипты, детекторы, тесты, безопасные настройки по умолчанию или автоматизацию, которые улучшают рабочие процессы AppSec и снижают повторяющиеся проблемы.
• Работать в GitHub, проводя ревью изменений кода, понимая инженерный контекст, участвуя в обсуждениях pull request‑ов, отслеживая работу по исправлению и сотрудничая с инженерами.
• Помогать оценивать уязвимости из внутреннего тестирования, отчетов bug bounty, средств безопасности, penetration tests и других источников; сотрудничать с командами для приоритизации и устранения проблем на основе реального риска.
• Вносить вклад в процессы управления уязвимостями, включая триаж, валидацию, оценку тяжести, рекомендации по исправлению, отслеживание и отчётность.
• Превращать повторяющиеся находки в области безопасности в повторяемые механизмы, такие как рекомендации по безопасному кодированию, чек‑листы, готовые пути, лёгкую автоматизацию, логику обнаружения, переиспользуемые шаблоны ревью или документацию для разработчиков.
• Работать с инженерами, чтобы понять дизайн систем, потоки данных, границы доверия, модели аутентификации и авторизации, пути кода и потенциальные сценарии злоупотребления.
• Чётко сообщать о проблемах безопасности как технической, так и нетехнической аудитории, включая риск, компромиссы, рекомендованные меры и остаточный риск.
• Строить прочные отношения с командами Affirm и влиять на результаты в области безопасности без опоры на формальные полномочия.
• Помогать связывать работу AppSec с доверием клиентов, ожиданиями регуляторов/комплаенса, операционной устойчивостью и бизнес‑результатами.
• Продолжать развивать практические навыки offensive, defensive и программной инженерии через реальную работу, лаборатории, инструменты, исследования, сертификаты или вклад во внутренние программы безопасности.

• 0–2+ лет опыта в области application security, software engineering, security engineering, управлении уязвимостями, penetration testing, security operations или эквивалентного практического опыта.
• Базовые навыки программирования на одном или нескольких языках, таких как Python, JavaScript/TypeScript, Kotlin или аналогичных.
• Умение читать, ориентироваться и рассуждать о коде, даже в незнакомых кодовых базах.
• Опыт работы с Git и GitHub или аналогичными системами контроля версий, включая ветки, коммиты, pull request‑ы, code review, задачи или отслеживание проектов.
• Некоторый практический опыт создания, тестирования, взлома или защиты программного обеспечения. Это может включать профессиональный опыт, стажировки, security labs, CTF, работу в рамках bug bounty, вклады в open‑source, личные проекты, скрипты автоматизации, внутренние инструменты или учебные задания.
• Способность писать понятные, поддерживаемые скрипты или небольшие программы для решения практических задач, автоматизации ручных процессов, анализа данных, валидации находок или улучшения процессов безопасности.
• Базовое понимание распространённых рисков в веб, API, мобильных, облачных и приложенческих системах, таких как проблемы OWASP Top 10, уязвимости аутентификации и авторизации, инъекции, небезопасный дизайн, утечка секретов, риски зависимостей и вопросы защиты данных.
• Интерес к offensive security, например подготовка к сертификатам по безопасности, практику веб/API тестирования, изучение основ разработки эксплойтов, использование инструментов вроде Burp Suite или участие в лабораториях и CTF‑средах.
• Знакомство с концепциями управления уязвимостями, включая триаж, оценку тяжести, отслеживание исправлений, анализ ложных срабатываний, компенсирующие меры и приоритизацию на основе риска.
• Способность рассуждать о риске и компромиссах, а не только выявлять проблемы. Вы можете объяснить, что может пойти не так, какова вероятность, какой будет воздействие и какие варианты существуют для снижения риска.
• Сильная эмпатия к продукту и инженерии. Вы стремитесь понять цели запуска, технические ограничения, влияние на пользователей и бизнес‑приоритеты перед тем как рекомендовать дальнейший путь.
• Чёткие навыки письменного и устного общения, включая способность объяснять результаты безопасности в практических, применимых терминах.
• Коллаборативный подход и комфорт работы с командами product, engineering, compliance, risk, infrastructure и security.
• Любопытство, скромность и менталитет роста. Вы проактивно ищете обратную связь, задаёте хорошие вопросы и продолжаете развивать свою техническую глубину.
• Оценка security‑by‑design, включая способность выявлять шаблоны, рекомендовать простые контрольные меры и балансировать скорость запуска с существенным снижением риска.

• Медицинское страхование — Affirm покрывает все премии для всех уровней покрытия для вас и ваших иждивенцев
• Flexible Spending Wallets — щедрые субсидии на расходы в области технологий, питания, различных потребностей образа жизни и расходов, связанных с созданием семьи
• Отпуск — конкурентные графики отпусков и праздников, позволяющие вам взять время для отдыха и восстановления
• ESPP — план покупки акций сотрудниками, позволяющий вам приобретать акции Affirm со скидкой