Senior Application Security Engineer выступает в качестве практического технического эксперта по безопасности программных продуктов Mitek. Эта роль соединяет информационную безопасность и инженерию, работая напрямую с разработчиками над выявлением, расследованием и устранением уязвимостей в течение всего жизненного цикла разработки программного обеспечения.
Что вы будете делать (основные обязанности)
Практическая инженерия безопасности приложений
- Выполнять практический анализ безопасности приложений, сервисов, API и сопутствующих компонентов.
- Работать напрямую с кодовой базой на Java, Python и Go для выявления уязвимостей, понимания их причин и рекомендаций по практическому исправлению.
- Проводить ручные обзоры безопасного кода чувствительных к безопасности компонентов и изменений приложений.
- Сотрудничать напрямую с инженерами‑разработчиками для устранения уязвимостей и разработки безопасных решений.
- Разрабатывать повторно используемые шаблоны безопасного кодирования, контрольные механизмы и автоматизацию, предотвращающие повторяющиеся классы уязвимостей.
Проверка и устранение уязвимостей
- Неcтавить ответственность за устранение уязвимостей приложений от первоначального обнаружения до валидации, приоритизации, исправления, повторного тестирования и закрытия.
- Лично воспроизводить и подтверждать уязвимости, а не полагаться только на степень серьезности сканера или внешние отчёты.
- Оценивать реальный риск приложения, учитывая такие факторы, как возможность эксплуатации, достижимость кода, экспозиция приложения, чувствительность данных, критичность для бизнеса и компенсирующие меры.
- Работать с командами разработки, объясняя результаты, выявляя коренные причины и определяя подходящее исправление.
- Стремиться к системным исправлениям, а не к повторному решению отдельных случаев одной и той же уязвимости.
- Поддерживать чёткие SLA по исправлению и эскалировать нерешённые критические и высокие находки при необходимости.
Безопасный жизненный цикл разработки
- Помогать определять и развивать контрольные точки безопасности и проверки на протяжении всего SDLC.
- Внедрять требования безопасности в архитектуру, дизайн, спринты и процессы релизов.
- Интегрировать превентивные меры безопасности в рабочие процессы разработчиков и конвейеры CI/CD.
- Сотрудничать с Engineering, делая практики безопасной разработки практичными и масштабируемыми.
SAST, DAST и анализ состава программного обеспечения
- Эксплуатировать, настраивать и оптимизировать инструменты SAST, DAST и SCA для предоставления разработчикам полезных находок.
- Анализировать вывод сканеров и отличать значимый риск безопасности от ложных срабатываний и низко‑рисковых находок.
- Оценивать уязвимости зависимостей программного обеспечения с учётом контекста приложения, включая достижимость, использование уязвимых функций, возможность эксплуатации и варианты исправления.
- Сотрудничать с разработчиками по обновлению зависимостей, стратегиям замены, исключениям и компенсирующим мерам.
- Улучшать автоматизацию безопасности и обратную связь в рабочих процессах CI/CD.
Моделирование угроз и безопасный дизайн
- Моделировать угрозы новых функций и значительных архитектурных изменений до написания кода.
- Проводить обзор дизайна на предмет аутентификации, авторизации, границ доверия, потоков данных, криптографических мер и сценариев злоупотребления.
- Использовать методологии, такие как STRIDE, PASTA или аналогичные подходы.
- Преобразовывать результаты моделирования угроз в практические инженерные требования и меры безопасности.
Безопасность API и облачных решений
- Проверять контрольные меры безопасности приложений и API, включая аутентификацию, авторизацию, OAuth 2.0/OIDC, mTLS, ограничение скорости и предотвращение злоупотреблений.
- Сотрудничать с командами, разрабатывающими облачные приложения в AWS, Kubernetes/EKS, контейнерах и средах Linux/Ubuntu.
- Оценивать риски безопасности приложений в распределённых сервисах и облачных архитектурах.
Поддержка разработчиков
- Строить прочные рабочие отношения с Engineering и выступать в роли технического партнёра, а не охранного стража.
- Предоставлять разработчикам чёткие, практические рекомендации по исправлению.
- Предоставлять руководство по безопасному кодированию и обучение на основе реальных уязвимостей и повторяющихся шаблонов.
- Помогать развивать и укреплять программу Security Champions в командах разработки.
- Создавать руководства, стандарты и шаблоны безопасной разработки, которые команды могут использовать самостоятельно.
Тестирование безопасности приложений
- Подтверждать уязвимости приложений и API через практическое тестирование при необходимости.
- Координировать внешние мероприятия по тестированию на проникновение, подтверждать полученные результаты и вести процесс исправления.
- Практический опыт тестирования приложений или API на проникновение считается сильным преимуществом.
Что мы предлагаем
- Владение функцией AppSec с чётким объёмом ответственности и видимостью на уровне руководства.
- Технически интересная поверхность атаки — финансовое программное обеспечение, доступное из интернета, сложные интеграции API и двойной регуляторный контекст США/ЕС.
- Прямое сотрудничество с вице‑президентом по ИТ и безопасности и руководством Engineering.
- Команда разработки, открытая к партнёрству в области безопасности, а не рассматривающая её как внешнее ограничение.
- Программа безопасности, проактивно инвестирующая из позиции силы — не реактивно, не в кризисе.
Предложения по льготам – могут различаться в зависимости от географического расположения
- Здоровье: универсальные, дополнительные и частные варианты медицинского страхования в зависимости от страны.
- Финансовое будущее: взносы в пенсионный план, участие в планах акций MTK.
- Защита дохода: покрытие жизненных событий и инвалидности.
- Оплачиваемый отпуск: щедрый ежегодный отпуск, корпоративные праздники, время для волонтёрства.
- Обучение: лицензия на e‑learning, возмещение расходов на обучение, хакатоны.
- Пособие на обустройство домашнего офиса.
- Дополнительные/опциональные льготы: страховка для домашних животных, защита от кражи личности, юридическая помощь.
О компании Mitek Systems
Mitek Systems — американский разработчик софта для проверки личности и выявления мошенничества, публичная компания на NASDAQ под тикером MITK. Продукты закрывают распознавание документов, биометрию лица с проверкой на liveness и deepfake, KYC-проверки и мобильный депозит чеков; компания заявляет 7 000+ корпоративных клиентов, 1,3 млрд обработанных идентификаций и 8,8 млрд мобильных чеков.
Что вакансия рассказывает о компании и команде
Mitek Systems — компания в сфере AI‑программного обеспечения для проверки личности, штаб‑квартира которой находится в Соединённых Штатах.