Principal Security Engineer (Crypto / Digital Assets)

Мы ищем Principal Security Engineer с глубокими знаниями в области crypto, который возглавит безопасность в нашем регулируемом бизнесе цифровых активов. По мере того как мы развиваем спотовую торговлю, кастодиальные услуги, стейкинг и on-chain сервисы для нашей клиентской базы, безопасность является фундаментом, на котором стоит весь бизнес. Эта роль отвечает за него. Вы будете владельцем безопасности для кастодиального и on-chain уровня нашей crypto‑платформы от начала до конца: архитектура, инженерия, операции и регуляторное обеспечение для тех частей стека, которые уникальны для цифровых активов. Для возможностей платформы, уже находящихся в ведении центральных команд безопасности (cloud, application security, IAM, SOC), вы определите требования, специфичные для crypto, и будете сотрудничать при их реализации, а не дублировать владение. Вы будете тесно взаимодействовать с командами risk, compliance, product и engineering и подчиняться центральной функции безопасности. Это практическая старшая роль для человека, который понимает, что в кастодиальных услугах цифровых активов одна ошибка в управлении ключами может привести к краху компании, и соответственно строит контрольные меры.

Безопасность цифровых активов и кастодиальных операций (ответственность этой роли):

• Управлять полным стеком кастодиальных операций: управление ключами MPC, авторизация транзакций, кворумы подписи, белый список адресов и контроль выводов

• Осуществлять управление разделением горячих/холодных кошельков, церемониями ключей и делегированными холодными кастодианами

• Обеспечивать безопасность архитектуры стейкинга и on-chain путей депозитов/выводов

Безопасность платформы, облака и приложений (в сотрудничестве с InfraSec, AppSec и IAM):

• Определять требования к усилению, специфичные для crypto, для стека кастодиальных и биржевых сервисов в существующей многоконтурной среде AWS; сотрудничать с InfraSec по сегментации аккаунтов, сетевым и контролям резидентности данных

• Сотрудничать с AppSec для внедрения проверок, специфичных для crypto, в SDLC (SAST, DAST, SCA, CI/CD security gates) для кастодиальных и биржевых сервисов

• Сотрудничать с IAM и IAM Tech по управлению привилегированным доступом и секретами для криптографических подписных ключей и кастодиальных учётных данных

Обнаружение угроз, реагирование и тестирование (в сотрудничестве с SOC, CorpSec и AppSec):

• Определять сценарии обнаружения, специфичные для кастодиальных операций и блокчейна, и передавать их в мониторинг и оповещения SOC

• Руководить реагированием на инциденты в криптосценариях (компрометация ключа, неавторизованная транзакция, on-chain инцидент); сотрудничать с CorpSec по групповому процессу IR, форензике и уведомлению о нарушении

• Вносить сценарии, специфичные для кастодиальных операций и блокчейна, в программу пентестов и red‑team AppSec

Безопасность сторонних и поставщиков (ответственность за риск поставщиков crypto, сотрудничество с CorpSec по процессу):

• Проводить оценку безопасности и постоянное обеспечение криптовалютного стека поставщиков: платформы кастодиальных услуг, системы исполнения, аналитика блокчейна, Travel Rule и инструменты казначейства

• Применять процесс онбординга поставщиков и обеспечения безопасности контрактов CorpSec к взаимодействию с поставщиками crypto

Регулятивные, устойчивость и управление (ответственность за маппинг, специфичный для crypto, сотрудничество с IT Governance):

• Выполнять маппинг контролей в соответствии с MiCA и криптоспецифичными положениями DORA и правил FCA; сотрудничать с IT Governance по маппингу ISO 27001, SOC 2, NIST CSF и GDPR

• Интегрировать криптосервисы в план BC/DR группы и маппинг важных бизнес‑сервисов, управляемый IT Governance

• Поддерживать дополнения к политике безопасности, специфичные для crypto; оказывать поддержку регулятивным и IT аудитам по сфере crypto

• 6+ лет в области информационной безопасности, включая недавний опыт работы в качестве senior security engineer, security architect или security lead;
• Прямой опыт обеспечения безопасности crypto, кастодиальных операций цифровых активов или регулируемой финансовой платформы; глубокое понимание безопасности блокчейна, архитектуры кошельков и управления ключами;
• Практические знания основ облачной безопасности (AWS предпочтительно, Azure/GCP приемлемо) в регулируемой среде;
• Практические знания безопасности в регулируемых финансах и того, как контрольные меры соотносятся с условиями лицензий (ISO 27001, SOC 2, NIST);
• Опыт проведения threat modelling, оценки рисков и реагирования на инциденты;
• Умение работать в матричной модели безопасности — сотрудничать с выделенными командами IAM, AppSec, SOC и инфраструктурной безопасности, а не полностью владеть этими функциями.

• Практический опыт работы с Kubernetes, контейнерами, безопасностью API и инфраструктурой как код;
• Владение Python для автоматизации и скриптинга;
• Опыт проведения обеспечения безопасности третьих сторон / поставщиков;
• Признанные сертификаты: CISSP, CISM, CCSP или эквивалент;
• Практический опыт работы с кастодиальными решениями на основе MPC, церемониями ключей и разработкой политики подписи;
• Знакомство с правилами MiCA, DORA, FCA в сфере crypto или аналогичными режимами цифровых активов;
• Опыт в безопасном SDLC и DevSecOps (OWASP, secure-by-design);
• Опыт проверки безопасности смарт‑контрактов: threat modelling, заказ и управление внешними аудитами, а также доведение найденных уязвимостей до решения;
• Опыт проектирования потоков подписи и одобрения транзакций, чтобы то, что пользователь или оператор одобрил, было доказуемо тем, что подписывается и транслируется;
• Опыт анализа бизнес‑логики в финансовом потоке — последовательность выводов, идемпотентность баланса, целостность внутренней бухгалтерии — где ошибка находится в логике, а не в криптографии;
• Знакомство с обеспечением цепочки поставок для криптоспецифических зависимостей: SDK кошельков, библиотеки цепочек, клиентские ноды и инструменты подписи, включая пиннинг, происхождение и дисциплину обновлений;
• Опыт определения охвата bug bounty для крипто‑активов, а также триаж и калибровка уровня серьезности on-chain находок.

• Конкурентоспособная зарплата: Мы считаем, что отличная работа заслуживает отличной оплаты. Ваши навыки и таланты будут вознаграждены зарплатой, которая заставит вас чувствовать себя ценным и мотивированным.

• Гармония работы и жизни: Присоединяйтесь к компании, которая искренне заботится о вас, потому что ваша жизнь вне работы так же важна, как и ваше время на работе. #LI-Hybrid

• Щедрый отпуск: Нужен перерыв? Наша политика ежегодного отпуска позволяет вам восстановить силы и наслаждаться жизнью вне работы без забот.

• Программа рекомендаций сотрудников: Любите работать здесь? Делитесь этим. Пригласите талантливых друзей и получайте вознаграждение за рост нашей команды.

• Всеобъемлющие льготы по здоровью и пенсионные выплаты: от медицинской страховки до пенсионных планов — мы поддержим вас. Кроме того, льготы и привилегии, специфичные для вашего региона.

• Workation Wonderland: Реализуйте мечты цифрового кочевника с 30 дополнительными днями удалённой работы из любой точки мира (некоторые ограничения применяются).

• Volunteer Days: Возьмите два дополнительных оплачиваемых дня каждый год, чтобы поддержать важные для вас инициативы и отдать долг сообществу.