Security Engineer, Product Security team

Мы ищем Security Engineer ll для присоединения к нашей команде Product Security.

В этой роли вы будете работать напрямую с senior-инженерами и командами разработки продукта, чтобы обеспечить безопасность наших веб-, мобильных и backend-приложений с самого начала их создания.

Вы будете продвигать подход "Secure by Design", помогая нам сдвигать безопасность на более ранние этапы жизненного цикла разработки ("shift left"). От помощи в создании моделей угроз приложений и триаже отчётов об уязвимостях до настройки инструментов безопасности в CI/CD и помощи разработчикам в написании безопасного кода — вы будете играть ключевую операционную роль в обеспечении безопасности нашей глобальной платформы доставки.

• Тестирование и устранение проблем безопасности приложений: проведение оценок безопасности, анализ кода и помощь продуктовым командам в устранении уязвимостей на уровне приложений (таких как OWASP Top 10) в наших веб- и мобильных приложениях.
• Bug Bounty и триаж уязвимостей: помощь в управлении нашими программами Bug Bounty и Vulnerability Disclosure, систематический триаж, валидация и воспроизведение заявленных уязвимостей перед их передачей нужным командам разработки.
• Интеграция DevSecOps: помощь во внедрении и поддержке автоматизированных инструментов тестирования безопасности (SAST, DAST, SCA) непосредственно в наших CI/CD пайплайнах для автоматического обнаружения уязвимостей.
• Участие в моделировании угроз: сотрудничество с senior security-инженерами для проведения сессий моделирования угроз и архитектурных обзоров новых функций и микросервисов с использованием фреймворков, таких как STRIDE.
• Поддержка AI и автоматизации безопасности: поддержка инициатив команды по использованию современных инструментов автоматизации безопасности и AI-инструментов для оптимизации триажа уязвимостей, анализа кода и повседневных рабочих процессов безопасности.
• Отслеживание SLA по уязвимостям: помощь в отслеживании прогресса устранения уязвимостей по ключевым метрикам, таким как Mean Time to Remediate (MTTR) и SLA Adherence %, при непосредственной работе с разработчиками для обеспечения своевременных исправлений.
• Поддержка разработчиков: выступление в роли полезного партнёра для инженеров-разработчиков, предоставление рекомендаций по стандартам безопасного кодирования, лучшим практикам и использованию безопасных библиотек.

• Основы безопасности приложений: прочные базовые знания принципов безопасности веб- и мобильных приложений, распространённых типов уязвимостей (OWASP Top 10) и базовых архитектур безопасности web/API.
• Практические навыки программирования: умение читать и понимать код хотя бы на одном современном языке программирования (например, Java, Python, Go или TypeScript) для помощи в выявлении и устранении уязвимостей безопасности.
• Триаж и валидация уязвимостей: опыт воспроизведения уязвимостей приложений (например, XSS, SQLi, IDOR, обход аутентификации) и использования инструментов, таких как Burp Suite или OWASP ZAP.
• Понимание DevSecOps и CI/CD: базовое понимание современных систем CI/CD (например, GitHub Actions, GitLab CI) и того, как автоматизированные сканеры безопасности (SAST/SCA) интегрируются в рабочие процессы разработчиков.
• Базовые знания облачных технологий и контейнеров: знакомство с основными принципами облачных вычислений (AWS, GCP или Azure) и концепциями контейнеров (Docker, Kubernetes).
• Интерес к AI и автоматизации: готовность изучать и использовать AI-инструменты (такие как LLM-ассистенты для написания кода) для автоматизации скриптов безопасности, задач триажа и анализа безопасности.
• Прагматичная коммуникация: сильные навыки совместной работы и эмпатичный подход к сотрудничеству с инженерами-разработчиками для решения проблем безопасности без замедления их работы.

• Опыт участия в программах Bug Bounty (в роли репортера или специалиста по триажу) или в соревнованиях CTF (Capture The Flag).
• Знакомство со стандартами аутентификации/авторизации, такими как OAuth 2.0, OIDC или SAML.
• Отраслевые сертификации, сфокусированные на базовых навыках безопасности (например, Security+, eJPT или GWAPT).

Забота о том, чтобы вы и все наши Герои были ухожены, счастливы и здоровы, всегда в приоритете. Потому что если вы в хорошей форме, то и мы в хорошей форме.

• Воспользуйтесь преимуществами нашей гибридной модели работы и присоединяйтесь к команде для живого общения и совместной работы в нашем прекрасном кампусе в Берлине 2 дня в неделю
• Мы предлагаем 27 дней отпуска с дополнительным днём на 2-й и 3-й год работы
• Мы поддержим ваше развитие и возможности карьерного роста: образовательный бюджет в размере 1 000 €, языковые курсы, поддержка для родителей и доступ к платформе Udemy Business для изучения различных онлайн-курсов.
• Двигайтесь и получайте те замечательные, стимулирующие мышление эндорфины: медицинские осмотры, медитация и спортзал.
• Наличные. Деньги. Бабки. Как бы вы это ни называли, мы поможем вам с этим: план покупки акций сотрудниками (Employee Share Purchase Plan), банк отпусков (Sabbatical Bank), скидка на билет на общественный транспорт, страхование жизни и от несчастных случаев, корпоративная пенсионная программа.
• Нет ничего лучше, чем собраться вместе за едой. Вот несколько способов, которые помогут вам в этом. Всё самое вкусное: цифровые talon-ы на еду и продуктовые сертификаты.
• Интересуетесь, каково это — переехать в Берлин? В этой статье мы собрали 10 вещей, которые вам следует знать о переезде в Берлин, и о том, как Delivery Hero может вам помочь. Вы также можете посетить наш relocation hub и узнать больше информации о переезде в Берлин.