Principal IT Security Architect

RingCentral IT нанимает глубоко технического Principal Security Architect, который определит, выдержат ли наши корпоративные, облачные, идентификационные, сетевые, прикладные и данные контрольные меры способного современного атакующего, и докажет это доказательствами. Это не роль, ограниченная только управлением или консультированием. Вы будете работать внутри административных консолей Okta, Zscaler, Google Workspace и Microsoft 365, воссоздавать конфигурацию нашей среды и средств безопасности, оспаривать унаследованные предположения и исключения, выявлять эксплуатируемые пути атак и лично разрабатывать, прототипировать, автоматизировать и внедрять долговременные исправления в продакшн.

Вы объедините менталитет противника с дисциплинированным оборонным инженерием. Вы должны мыслить в терминах путей атак и зоны поражения, а не чек‑листов контроля, и быть одинаково комфортно проводить симуляцию кражи токена или фишинга согласия против наших собственных тенантов, а затем писать Conditional Access policy, Okta authentication policy или Drive sharing restriction, который их нейтрализует.

• Идентичность как периметр безопасности (Okta). Сквозной обзор и укрепление нашего тенанта Okta: глобальные политики сессий и аутентификации на уровне приложений, сила факторов MFA и фишинг‑устойчивая регистрация (FastPass / WebAuthn), доверие к устройствам, делегирование ролей администраторов и сокращение постоянных привилегий, гигиена токенов API и областей сервисных приложений, жизненный цикл provision‑инга SCIM и — критически — де‑provision‑инга, Okta Workflows, ThreatInsight и поток системных журналов в наш SIEM. Вы будете искать теневых администраторов, осиротевшие интеграции, чрезмерно широкие OAuth‑разрешения и устаревшие пути аутентификации.
• Доступ к сети с нулевым доверием (Zscaler). Обзор архитектуры и конфигурации в ZIA и ZPA: покрытие SSL‑инспекции и список обходов (где обычно скрывается реальная экспозиция), контроль URL и облачных приложений, политики DNS и файрвола, встроенный DLP, песочница, сегменты приложений ZPA и политики доступа, ограниченные принципом наименьших привилегий, профили позиций, конфигурация App Connector и Browser Access, профили переадресации Client Connector и логика PAC, а также администраторский RBAC в самом тенанте Zscaler.
• Обмен данными SaaS и их раскрытие (Google Workspace + Microsoft 365 / OneDrive / SharePoint). Полный аудит и исправление внешнего совместного доступа: настройки и срок действия общего доступа по ссылке, целевые аудитории, общие диски и переопределения на уровне сайта, доступ гостей и неуправляемых устройств, метки чувствительности и правила Purview / Google DLP, Entra ID Conditional Access, согласие сторонних OAuth‑приложений и контроль доступа к API, разрастание ключей сервисных аккаунтов и делегирование на уровне домена, а также качество сигналов Alert Center / Defender for Cloud Apps. Вы оцените, какой объём данных компании сейчас доступен «любому, у кого есть ссылка», — а затем сократите его.
• Валидация, инициируемая противником. Разработать и провести авторизованные, ограниченные тесты против нашей собственной среды: перехват сессий adversary‑in‑the‑middle, усталость MFA и пути понижения уровня, фишинг согласия OAuth, сопротивление социальному инжинирингу в службе поддержки, злоупотребление интеграциями SaaS‑to‑SaaS и построение карты путей атак идентификации. Преобразовать каждое обнаружение в конкретное изменение конфигурации с указанием владельца и даты, затем выполнить purple‑team проверку результата, чтобы подтвердить срабатывание детекции.
• Архитектура, стандарты и доказательства. Установить целевую референс‑архитектуру для безопасности идентификации и SaaS, определить базовые уровни укрепления в соответствии с CIS Benchmarks, CISA SCuBA и NIST SP 800‑207, внедрить непрерывное обнаружение отклонений конфигурации и предоставить доказательства, которые запрашивают аудиторы, клиенты и руководители. Вы проведёте брифинг для CIO и руководства по безопасности о остаточном риске простым языком.
• Каждое существенное обнаружение должно привести к анализу первопричины, долговременному исправлению, назначенному ответственному, сроку, компенсирующему контролю при необходимости и доказательствам того, что исправление сработало.

• 10+ лет в области инженерии или архитектуры безопасности, значительная часть из них — практическая работа в продакшн. Сертификаты не заменяют продемонстрированную глубину конфигураций.
• Экспертный уровень администрирования Okta в консоли — вы можете объяснить порядок оценки политик, разницу между глобальной политикой сессии и политикой аутентификации приложения, а также как обнаружить вредоносно созданную интеграцию приложения.
• Опыт работы в продакшн с администрированием Zscaler ZIA и ZPA, включая операционные компромиссы SSL‑инспекции, исключений обхода и сегментации приложений по принципу наименьших привилегий.
• Глубокие практические знания администрирования Google Workspace Admin и Microsoft 365 / Entra ID — в частности совместного доступа, внешнего сотрудничества, согласия OAuth‑приложений и поверхностей DLP.
• Демонстрируемая offensive‑способность против идентификационных и SaaS сред. Вы находили реальные, эксплуатируемые конфигурационные ошибки, а не только вывод сканеров. Умение работать с инструментами, такими как BloodHound / AzureHound, ROADrecon, GraphRunner и Burp Suite.
• Свободное владение SAML, OIDC, OAuth 2.0 и SCIM — и специфическими способами их злоупотребления. Практические знания MITRE ATT&CK, включая облачные и SaaS матрицы.
• Способность к автоматизации: Python или PowerShell для работы с API Okta, Microsoft Graph, Google Admin SDK и Zscaler. Эта роль не выживет, если полагаться только на клики в консолях.
• Умение продвигать изменение через контроль изменений, оценивать влияние на пользовательский опыт и защищать решение перед скептически настроенным владельцем бизнеса. Вам могут сказать «это сломает рабочие процессы». Вы должны быть правы и предоставить данные.

• OSCP, GPEN, GCPN, GWAPT или CRTO; Okta Certified Administrator или Consultant; сертификат Zscaler ZIA/ZPA. CISSP или CCSP приветствуются, но не являются критерием отбора.
• Опыт развертывания платформы SSPM или CASB (Obsidian, AppOmni, Netskope, Defender for Cloud Apps) для автоматизации обзора позиций в масштабе.
• Опыт обеспечения безопасности AI и агентных инструментов: OAuth‑области, предоставляемые AI‑ассистентам, границы доступа к данным и развертывание корпоративных копилотов/агентов.
• Инженерия обнаружения на основе телеметрии идентификации в SIEM (Splunk, Sentinel или аналог), а также предыдущий опыт в среде, прошедшей аудит SOX или SOC 2.

• Всеобъемлющее медицинское, стоматологическое, зрительное, страхование от инвалидности и страхование жизни
• Счёт здоровья (Health Savings Account, HSA), гибкий счёт расходов (Flexible Spending Account, FSAs) и льготы для поездок на работу
• Соответствие 401K и ESPP
• Оплачиваемый отпуск и оплачиваемый больничный
• Оплачиваемый декретный и отпуск по беременности
• Льготы для создания семьи (ЭКО, сохранение, усыновление и т.д.)
• Экстренная резервная забота (о детях/взрослых/питомцах)
• Программа помощи сотрудникам (Employee Assistance Program, EAP) с консультациями, доступными 24/7
• Бесплатные юридические услуги, предоставляющие юридические консультации, составление документов и планирование наследства
• Бонусная программа рекомендаций сотрудников
• Помощь в рефинансировании долгов
• Программа привилегий и скидок для сотрудников

Если вы будете наняты в Belmont, CA, диапазон компенсации для этой позиции составляет от $184,600 до $225,100 для сотрудников на полную ставку, плюс возможность получения переменной оплаты, акций и льгот. Льготы могут включать, но не ограничиваться, здравоохранением и благополучием, 401k, ESPP, отпуском, декретным отпуском и прочим! Зарплата может варьироваться в зависимости от вашего местоположения, навыков и опыта.