Security Engineer

CAST AI нанимает своего первого выделенного Security Engineer.

Сейчас вопросами безопасности наряду с другими обязанностями занимаются инженеры продуктовой организации. По мере роста компании нам нужен человек, который будет полностью сосредоточен на понимании безопасности нашей платформы, выявлении наиболее значимых рисков и помощи инженерным командам в их устранении.

CAST AI работает внутри production-сред клиентов. Клиенты предоставляют платформе облачные учётные данные, доступ к кластерам и разрешение удалять, перемещать и изменять размер рабочих нагрузок. Каждое разрешение должно быть обосновано, каждое действие должно быть отслеживаемым, а каждый компонент должен оцениваться как часть более широкой поверхности атаки.

Вы будете работать с мультитенантной платформой, охватывающей AWS, GCP и Azure, средами Kubernetes, микросервисами, пайплайнами CI/CD и AI-агентами, которые принимают автономные решения в production. Вы поможете сделать безопасный путь самым простым путём для инженерных команд.

Это техническая, практическая роль индивидуального вклада (individual contributor). От вас не ожидается, что вы сами внедрите каждый механизм защиты, но вы будете выявлять риски, определять практичные меры по их снижению, направлять команды, отвечающие за внедрение, и доводить самые важные вопросы до закрытия.

Вы будете подчиняться Mantas Norvaiša и тесно работать с инженерными командами, командой Platform и Danielius, который руководит нетехнической стороной комплаенса.

• Изучить архитектуру, инфраструктуру и инженерные рабочие процессы CAST AI, а затем выявить недостатки безопасности и существенные риски.

• Настраивать, эксплуатировать и постоянно тюнить инструменты облачной безопасности, такие как Wiz, чтобы они выдавали результаты с высоким соотношением сигнал/шум, на которые инженерные команды могут реагировать.

• Строить модели угроз для продукта и backend-архитектуры, включая границы доверия, аутентификацию между сервисами, доступ к кластерам клиентов, секреты и пути атак.

• Оценивать и приоритизировать находки на основе доказательств, влияния на бизнес и возможности эксплуатации, а не относиться ко всем оповещениям одинаково.

• Представлять наиболее важные риски инженерному и высшему руководству компании и обосновывать необходимость их устранения.

• Консультировать инженерные команды по практичным улучшениям безопасности.

• Руководить внедрением механизмов защиты в инженерных процессах, включая доступ к production, управление идентификацией, управление секретами и безопасные практики CI/CD.

• Работать с соответствующими командами, чтобы механизмы защиты были внедрены, отслеживались и поддерживались.

• Помогать преобразовывать требования комплаенса в осмысленную техническую работу и подтверждающие материалы.

• Участвовать в разработке стандартов безопасности для облачной инфраструктуры, Kubernetes, цепочек поставок ПО и систем с поддержкой AI.

• Поддерживать развитие сигналов безопасности и практик реагирования на инциденты, помогая при этом снижать шум оповещений.

• Использовать скрипты, прототипы или код там, где это полезно, чтобы проверять риски, автоматизировать рабочие процессы безопасности или поддерживать инженерные команды. Это не роль разработчика ПО, но прочные основы программной инженерии важны.

• Не менее 5–6 лет профессионального опыта в области безопасности. Идеально — около 10 лет или больше.

• Практический опыт настройки и эксплуатации инструментов облачной безопасности в production, таких как Wiz, Upwind или аналогичная платформа, и превращения находок в исправления.

• Глубокое понимание безопасности облачной инфраструктуры: вычислительные ресурсы, сети, IAM, хранилища и взаимодействие сервисов.

• Практический опыт как минимум с одним из облаков: AWS, GCP или Azure, а также умение рассуждать о том, как работают облачные системы и как они могут выходить из строя.

• Глубокое понимание Kubernetes и cloud-native-инфраструктуры.

• Опыт моделирования угроз реальных систем с использованием STRIDE или аналогичного метода и умение провести инженерные команды через этот процесс.

• Прочные основы программной инженерии, включая умение понимать архитектуру ПО, распределённые системы и инфраструктуру и рассуждать о них.

• Умение писать или проверять код и автоматизацию на Go или Python.

• Хороший письменный и устный английский.

• Проактивный, гибкий подход и комфортная работа в динамичной среде, где функция безопасности создаётся с нуля.

• Глубокий практический опыт работы с AWS, GCP или Azure, включая внутреннее устройство вычислительных ресурсов, сетей и хранилищ.

• Опыт в безопасности Kubernetes, охватывающий RBAC, admission control, network policies и Pod Security Standards.

• Опыт укрепления защиты реальных production-кластеров Kubernetes.

• Опыт в области идентификации и управления секретами, включая IAM с наименьшими привилегиями, workload identity и ротацию секретов.

• Опыт в detection engineering или реагировании на инциденты, включая тюнинг сигналов безопасности и сокращение ложных срабатываний.

• Опыт работы с SOC 2, ISO 27001, FedRAMP или аналогичными стандартами комплаенса.

• Опыт в безопасности цепочки поставок ПО, включая SBOM, сканирование зависимостей, сканирование образов контейнеров, подписание и безопасность CI/CD.

• Опыт защиты AI- и агентных систем, включая риски prompt injection, excessive agency и злоупотребления инструментами.

• Знакомство с AI-агентами для написания кода и агентными рабочими процессами разработки.

• Опыт работы с Terraform и безопасностью infrastructure-as-code.

• Сертификация в области безопасности, например OSCP, CISSP, или сопоставимая квалификация. Мы ценим то, что вы создали и исправили, больше, чем одни лишь сертификаты.

• Возможность построить первую выделенную функцию безопасности в быстрорастущей компании облачной инфраструктуры.

• Прямое влияние на то, как безопасность проектируется, приоритизируется и внедряется во всей организации.

• Работа с крупномасштабной мультиоблачной инфраструктурой, Kubernetes и AI-инфраструктурой.

• Тесное сотрудничество с инженерными командами и командами платформы, а не работа по безопасности в изоляции.

• Гибкая рабочая среда в формате remote-first по всей Европе.

• Опционы на акции.

• Бюджет на обучение и развитие, включая доступ к соответствующим курсам и конференциям.

• Бюджет на оборудование и поддержка тимбилдинга.

• Дополнительные выходные дни и корпоративные мероприятия.