Product Security Engineer II

Мы ищем начинающего Application Security Engineer, который любопытен, умеет работать в команде и комфортно работает с кодом. Вы будете помогать оценивать риски приложений, поддерживать усилия по управлению уязвимостями, сотрудничать с инженерными командами по вопросам безопасного проектирования и вносить вклад в лёгкие инструменты, автоматизацию и анализ, основанный на коде, которые помогают AppSec масштабироваться в рамках Affirm.

Эта роль отлично подходит человеку с практическим опытом в разработке или безопасности, который любит читать и разбирать код, активно развивает навыки offensive security и хочет применять их в продуктово‑ориентированном, риск‑ориентированном подходе.

• Сотрудничать с продуктовыми и инженерными командами для выявления рисков безопасности приложений и формулировать их как чёткие бизнес‑риски, варианты запуска и рекомендованные дальнейшие шаги.

• Читать код приложений, конфигурацию, pull request‑ы, логи и документацию, чтобы понять, как работают системы и где могут возникать риски безопасности.

• Вносить небольшие изменения в код, скрипты, детекторы, тесты, безопасные настройки или автоматизацию, которые улучшают рабочие процессы AppSec и снижают повторяющиеся проблемы.

• Работать в GitHub, просматривать изменения кода, понимать контекст разработки, участвовать в обсуждениях pull request‑ов, отслеживать работу по исправлению и сотрудничать с инженерами.

• Помогать оценивать уязвимости из внутренних тестов, bug bounty‑отчётов, средств безопасности, penetration tests и других источников; совместно с командами приоритизировать и устранять проблемы на основе реального риска.

• Вносить вклад в рабочие процессы управления уязвимостями, включая триаж, валидацию, оценку тяжести, рекомендации по исправлению, отслеживание и отчётность.

• Преобразовывать повторяющиеся находки безопасности в повторяемые механизмы, такие как рекомендации по безопасному кодированию, чек‑листы, готовые пути, лёгкая автоматизация, логика детекции, переиспользуемые шаблоны обзора или документацию для разработчиков.

• Работать с инженерами, чтобы понять проектные решения, потоки данных, границы доверия, модели аутентификации и авторизации, пути кода и потенциальные сценарии злоупотребления.

• Чётко коммуницировать вопросы безопасности как технической, так и нетехнической аудитории, включая риск, компромиссы, рекомендованные меры снижения и остаточный риск.

• Строить прочные отношения с командами Affirm и влиять на результаты в области безопасности без формального авторитета.

• Помогать связывать работу AppSec с доверием клиентов, ожиданиями регуляторов/комплаенса, операционной устойчивостью и бизнес‑результатами.

• Продолжать развивать практические навыки offensive, defensive и разработки программного обеспечения через реальную работу, лаборатории, инструменты, исследования, сертификаты или вклад во внутренние программы безопасности.

• 0–2+ лет опыта в области безопасности приложений, программной инженерии, инженерии безопасности, управлении уязвимостями, penetration testing, security operations или эквивалентного практического опыта.

• Базовые навыки программирования на одном или нескольких языках, таких как Python, JavaScript/TypeScript, Kotlin или аналогичных.

• Умение читать, ориентироваться и рассуждать о коде, даже в незнакомых кодовых базах.

• Опыт работы с Git и GitHub или аналогичными системами контроля версий, включая ветки, коммиты, pull request‑ы, code review, задачи или трекинг проектов.

• Некоторый практический опыт создания, тестирования, взлома или защиты программного обеспечения. Это может включать профессиональный опыт, стажировки, лаборатории по безопасности, CTF, работу в bug bounty, вклад в open‑source, личные проекты, скрипты автоматизации, внутренние инструменты или учебные задания.

• Способность писать понятные, поддерживаемые скрипты или небольшие программы для решения практических задач, автоматизации ручных процессов, анализа данных, валидации результатов или улучшения процессов безопасности.

• Базовое понимание распространённых рисков веб, API, мобильных, облачных и приложений, таких как проблемы OWASP Top 10, уязвимости аутентификации и авторизации, инъекции, небезопасный дизайн, раскрытие секретов, риски зависимостей и вопросы защиты данных.

• Интерес к offensive security, например подготовка к сертификатам по безопасности, практику веб/API тестирования, изучение основ разработки эксплойтов, использование инструментов вроде Burp Suite или участие в лабораториях и capture‑the‑flag средах.

• Знакомство с концепциями управления уязвимостями, включая триаж, оценку тяжести, отслеживание исправлений, анализ ложных срабатываний, компенсирующие меры и приоритизацию на основе риска.

• Способность рассуждать о риске и компромиссах, а не только выявлять проблемы. Вы можете объяснить, что может пойти не так, какова вероятность, какой будет эффект и какие варианты существуют для снижения риска.

• Сильная эмпатия к продукту и инженерии. Вы стремитесь понять цели запуска, технические ограничения, влияние на пользователей и бизнес‑приоритеты перед тем, как предлагать путь вперёд.

• Чёткие письменные и устные коммуникативные навыки, включая умение объяснять выводы по безопасности в практических, действенных терминах.

• Коллаборативный подход и комфорт работы с продуктовыми, инженерными, комплаенс, рисковыми, инфраструктурными и безопасностными командами.

• Любознательность, скромность и стремление к росту. Вы активно запрашиваете обратную связь, задаёте хорошие вопросы и постоянно углубляете техническую экспертизу.

• Оценка безопасности по принципу secure‑by‑design, включая способность замечать шаблоны, предлагать простые контрольные меры и балансировать скорость запуска с существенным снижением риска.

Base Pay Grade - L

Equity Grade - 6

Сотрудники, только присоединившиеся к Affirm, обычно начинают с нижней границы диапазона оплаты. Affirm стремится к простой и прозрачной структуре оплаты, которая зависит от различных факторов, включая местоположение, опыт и навыки, связанные с работой.

Базовая зарплата является частью общего пакета компенсаций, который может включать вознаграждения в виде акций, ежемесячные пособия на здоровье, благополучие и технические расходы, а также льготы (включая 100 % субсидированное медицинское покрытие, стоматологию и зрение для вас и ваших иждивенцев).

USA base pay range (CA, WA, NY, NJ, CT): $165,000 - $225,000

USA base pay range (all other U.S. states): $146,000 - $206,000

#LI-Remote

Affirm гордится тем, что является компанией с приоритетом удалённой работы! Большинство наших ролей удалённые, и вы можете работать почти из любой точки страны, где работаете. Сотрудники в близлежащих ролях имеют гибкость удалённой работы, но иногда им потребуется работать из назначенного офиса Affirm. Ограниченное число ролей остаётся офисными из‑за характера их обязанностей.

Мы очень гордимся тем, что предлагаем конкурентные льготы, основанные на нашем ключевом ценностном принципе «люди превыше всего». Некоторые ключевые моменты нашего пакета льгот включают:

• Медицинское страхование – Affirm покрывает все премии для всех уровней покрытия для вас и ваших иждивенцев

• Flexible Spending Wallets – щедрые пособия на расходы в области технологий, питания, различных потребностей образа жизни и расходов, связанных с созданием семьи

• Отпуск – конкурентные графики отпусков и праздников, позволяющие вам отдыхать и восстанавливать силы

• ESPP – план покупки акций сотрудниками, позволяющий приобретать акции Affirm со скидкой

Мы считаем, что предоставление инклюзивного опыта интервью – наша ответственность. Мы рады предоставить разумные условия для кандидатов, нуждающихся в индивидуальной поддержке в процессе найма.

[Для позиций в США, которые могут быть выполнены в Los Angeles или San Francisco] В соответствии с San Francisco Fair Chance Ordinance и Los Angeles Fair Chance Initiative for Hiring Ordinance, Affirm будет рассматривать к трудоустройству квалифицированных соискателей с арестами и судимостями.