DevOps и инженер по безопасности (AI-native Healthcare SaaS)

Что предстоит делать

Штаб-квартира: Индия О компании Zenara Health — это организация в сфере ментального здоровья, движимая технологиями и нацеленная на повышение доступности и качества услуг психического благополучия. Интегрируя платформы на базе ИИ с профессиональной клинической помощью, мы предоставляем персонализированные и эффективные решения для ментального здоровья, создавая безупречный цифровой опыт как для пациентов, так и для провайдеров. Мы работаем как стартап, а не просто как отдел. Почему эта роль существует Эта должность является первой линией обороны компании. Вы будете работать исходя из предположения, что системы постоянно находятся под угрозой, создавая инфраструктуру, которая является отказоустойчивой, аудируемой и безопасной по своей сути. Вы будете самым риск-ориентированным человеком в стартапе — и именно это нам и нужно. Пока другие сосредоточены на выпуске функций, вы будете уделять первостепенное внимание безопасности данных пациентов, соответствию нормативным требованиям и целостности системы. О роли Если ваше понимание DevOps ограничивается фразой «иногда я выполняю kubectl apply», эта позиция, скорее всего, не для вас. Эта роль не подходит тем, кто ставит скорость выше безопасности или рассматривает безопасность как что-то второстепенное, что можно добавить позже. В Zenara защита данных пациентов и целостность системы имеют приоритет над быстрым развертыванием. Наша команда разрабатывает платформу, которая управляет клиническими данными, запускает ИИ-рабочие процессы и обрабатывает страховые выставления счетов — все это в среде, регулируемой HIPAA, для реальных психиатрических практик. Наша инфраструктура работает; однако нам не хватает человека, который взял бы на себя ответственность за нее с подходом, ориентированным на безопасность. В настоящее время у нас нет выделенного владельца CI/CD, всеобъемлющей стратегии безопасности или мониторинга, выходящего за рамки простых проверок аптайма. Если бы завтра пришли аудиторы HIPAA, мы бы выдержали проверку — но это не было бы приятным опытом. Вы будете отвечать за инфраструктуру Zenara, состояние безопасности и инжиниринг соответствия требованиям — все с нуля. Это включает CI/CD пайплайны, автоматизацию развертывания с соблюдением HIPAA, системы мониторинга и оповещения, меры кибербезопасности и защиту от угроз, контроль доступа и аудит журналов — весь спектр «ключевых элементов, обеспечивающих безопасную работу медицинской компании». Однако ваша роль выйдет за рамки простого обслуживания. Вы также будете развивать инфраструктуру для нашей ИИ-платформы, включая обслуживание моделей, масштабирование ИИ-нагрузок и поддержку производственных ИИ-пайплайнов. У вас будет двойная задача: обеспечивать стабильность и безопасность платформы, а также создавать необходимую инфраструктуру для ИИ в масштабе. Это уникальная возможность для greenfield-инжиниринга инфраструктуры в медицинской ИИ-компании с реальными требованиями соответствия и реальными пользователями. Вы будете разрабатывать системы с нуля, принимать архитектурные решения, устанавливать лучшие практики, которые проведут нас через рост и аудиты соответствия, и будете главным «привратником» безопасности. Что вы будете контролировать 1. Кибербезопасность и защита от угроз Вы будете управлять моделированием угроз, сокращением поверхности атак, контролировать обнаружение вторжений, управление уязвимостями и планирование реагирования на инциденты. Вы будете финальным рецензентом инфраструктурных рисков и рисков безопасности, имея полномочия останавливать релизы, которые не соответствуют критериям безопасности или соответствия. Безопасность данных пациентов не подлежит обсуждению. 2. CI/CD и автоматизация развертывания Вы будете проектировать и внедрять CI/CD пайплайны для всех продуктов Zenara, настраивать автоматизацию развертывания, управлять средами и устанавливать пороги качества. Ваша цель — устранить хаотичные релизы и создать систему, которая позволит команде развертывать уверенно и последовательно — без ущерба для безопасности. 3. Состояние безопасности и соответствие HIPAA Вы будете разрабатывать и поддерживать состояние безопасности, соответствующее HIPAA, во всех системах Zenara. Это включает внедрение контроля доступа, управление секретами, ведение журналов аудита и обеспечение соблюдения стандартов шифрования. Вы будете гарантировать соблюдение нормативных требований, избегая бюрократических замедлений. 4. Мониторинг, оповещение и реагирование на инциденты Вы создадите возможности мониторинга и оповещения для упреждающего выявления проблем до того, как они повлияют на пользователей. Вы установите протоколы реагирования на инциденты, определите цели уровня обслуживания (SLO) и будете отслеживать показатели надежности. Вы возглавите дежурства on-call и разработаете runbook'и для типичных инцидентов. 5. Поддержка ИИ-инфраструктуры Вы будете решать задачи ИИ-инфраструктуры, включая обслуживание моделей, предоставление GPU (при необходимости) и автоматическое масштабирование для ИИ-нагрузок. Вы будете сотрудничать с руководителем направления ИИ, чтобы гарантировать, что инфраструктура эффективно и безопасно поддерживает производственный ИИ. 6. Управление облачной инфраструктурой Вы будете управлять облачной инфраструктурой (AWS/Azure), уделяя внимание оптимизации затрат, надежности, аварийному восстановлению и планированию мощностей. Вы будете принимать архитектурные решения, которые находят баланс между стоимостью, производительностью и требованиями соответствия. 7. Подготовка к SOC 2 Вы возглавите подготовку к SOC 2 Type II по мере нашего приближения к привлечению финансирования, внедряя необходимые меры контроля, организуя сбор доказательств и взаимодействуя с аудиторами. Вы обеспечите, чтобы соответствие стало интегрированным процессом, а не разовой мерой. 8. Реагирование на инциденты безопасности Вы возьмете на себя ответственность за реагирование на инциденты безопасности, установив процедуры, проводя регулярные оценки безопасности и реагируя на инциденты по мере их возникновения. Ваши усилия помогут организации осознать безопасность как важную дисциплину, а не как запоздалую мысль. Ваши первые 90 дней Недели 1-2: Полностью погрузитесь в текущую инфраструктуру, процессы развертывания и состояние безопасности. Определите наиболее значительные уязвимости безопасности и критические пробелы. Выстраивайте доверительные отношения через активное слушание и вдумчивые вопросы. Месяц 1: Настройте базовый мониторинг и системы оповещения. Составьте дорожную карту CI/CD. Начните документировать существующие системы и протоколы безопасности. Установите каналы связи с инженерным руководством. Проведите первоначальную оценку угроз. Месяцы 2-3: Разработайте CI/CD пайплайны для высокоприоритетных сервисов с защитными шлюзами. Внедрите управление секретами и контроль доступа. Создайте первый набор операционных и охранных runbook'ов. Инициируйте анализ пробелов SOC 2 и планирование их устранения. Внедрите обнаружение вторжений и сканирование уязвимостей. Постоянно: Возьмите на себя полную ответственность за инфраструктуру и безопасность. Обеспечьте надежные и безопасные системы. Установите практики соответствия и повышайте стандарты безопасности. Уверенно говорите «нет», когда риски неприемлемы. Вселяйте в генерального директора уверенность в том, что инфраструктура и безопасность находятся в надежных руках. Ценности и атмосфера (Кто вы) Вы воспринимаете инфраструктуру в первую очередь через призму безопасности и надежности, а не просто аптайма. Вы — тот человек, который приходит в неуправляемый инфраструктурный ландшафт и наводит порядок — не через избыток инструментов, а через ясность, автоматизацию и эффективный мониторинг. Для вас безопасность — это не просто чек-лист; это формирует ваше мировоззрение. Вы обладаете врожденной паранойей — предполагаете, что системы находятся под угрозой, и проектируете с учетом этого понимания. Вы считаете неприемлемой инфраструктурную среду, которая работает как черный ящик, полагаясь на героические усилия, а не на стандартные практики. Вы признаете, что соответствие требованиям в здравоохранении обязательно, и понимаете, как внедрить его практически, не замедляя разработку. Вы достаточно практичны, чтобы диагностировать производственные проблемы, писать Terraform-модули и проверять конфигурации безопасности — но вы знаете, что ваша основная обязанность заключается в создании систем, которые являются одновременно надежными и безопасными, а не только в реагировании на инциденты. Вы успешно создавали инфраструктуру в регулируемых секторах, соблюдая ограничения соответствия. Вы рассматривали вопросы, связанные с угрозами безопасности, системами соответствия и аварийным восстановлением — выходя за рамки упрощенного представления «мы используем стандартные настройки AWS». Вы понимаете компромиссы между безопасностью, стоимостью, опытом разработчика и требованиями соответствия. Когда вы сталкиваетесь с неопределенностью, ваш выбор всегда будет в пользу безопасности. Вы комфортно говорите «нет», когда риски неприемлемы, даже если это задерживает выпуск функций. Это не препятствование; это часть вашей роли. Как выглядит успех Инфраструктура одновременно надежна и безопасна — генеральный директор больше не беспокоится о сбоях или нарушениях. CI/CD пайплайны внедрены и регулярно выполняют поставки — развертывания становятся рутинными, низкорисковыми и защищенными шлюзами безопасности. Состояние кибербезопасности надежно — моделирование угроз тщательное, поверхности атак минимизированы, а уязвимости отслеживаются для устранения. Состояние безопасности устойчиво — контроль доступа, журналы аудита и управление секретами строго соблюдаются. Системы мониторинга и оповещения выявляют проблемы до того, как о них сообщат пользователи. Соответствие HIPAA систематизировано — мы готовы к аудиту без лихорадочных приготовлений. ИИ-инфраструктура надежно и экономически эффективно поддерживает производственные рабочие нагрузки. Установлен процесс проверки безопасности — любые рискованные релизы выявляются и останавливаются до выпуска. Реагирование на инциденты документировано и эффективно — проблемы решаются быстро. Инфраструктура и состояние безопасности более надежны, устойчивы и соответствуют требованиям, чем на момент вашего прихода.

Что ждём от вас

• 5-10 лет опыта в DevOps, SRE или Platform Engineering — вы проектировали и поддерживали крупномасштабную производственную инфраструктуру.
• Сильное мышление в области безопасности: естественная осторожность, внимание к деталям и способность выражать обеспокоенность, когда риски слишком высоки. Для вас безопасность — это не просто функция; это фундаментальная необходимость.
• Знакомство с HIPAA, SOC 2 или системами соответствия в здравоохранении — вы понимаете BAA, журналы аудита и нормативные обязательства. Вы успешно внедряли соответствующие системы.
• Свободное владение AWS или Azure с использованием infrastructure-as-code (Terraform, Pulumi или CloudFormation) — вы управляете инфраструктурой через программирование, а не через ручные операции в консоли.
• Проектирование и внедрение CI/CD пайплайнов (GitHub Actions, CircleCI, Jenkins или аналогичные) — вы создавали автоматизацию развертывания с нуля.
• Опыт оркестрации контейнеров (Kubernetes, ECS или эквивалент) — вы умеете развертывать и масштабировать приложения в контейнерах.
• Навыки в области кибербезопасности: включая моделирование угроз, оценку уязвимостей, обнаружение вторжений и реагирование на инциденты.
• Отличные коммуникативные навыки на английском языке — вы работаете асинхронно и предоставляете четкую письменную документацию, отчеты об инцидентах и архитектурные решения.
• Опыт работы в стартапах или средах с высоким темпом роста — вы преуспевали в условиях неопределенности, ограниченных ресурсов и сжатых сроков.
• Желательно (строго)
• Опыт поддержки ML/AI инфраструктуры (обслуживание моделей, GPU-кластеры)
• Экспертиза в области безопасности для медицинского SaaS (работа с PHI, шифрование в покое и при передаче, аудит доступа)
• Опыт проведения пентестов или аудитов безопасности
• Предыдущий опыт с процессами сертификации SOC 2 или HITRUST
• Знание инструментов наблюдаемости и мониторинга (Datadog, Prometheus, Grafana или аналогичные)
• Приятно иметь
• Понимание стандартов медицинских данных FHIR/HL7
• Производственный опыт работы с Kubernetes
• Знакомство со стратегиями безопасности multi-tenant SaaS
• Опыт работы в сфере ментального здоровья или поведенческого здоровья
• Опыт оптимизации затрат на облачную инфраструктуру
• Соответствующие сертификаты в области безопасности (CISSP, CEH или эквивалент)
• График
• Вечерние часы по IST с 4–8 часами ежедневного пересечения с тихоокеанским временем США (9:00–17:00 PT). Вы можете предложить график, который лучше всего подходит вам — наш акцент на пересечении и доступности команды, а не на жестком учете рабочего времени. Ожидается доступность on-call во время ключевых инцидентов безопасности.
• Зарплата от ₹22 до ₹35 LPA, в зависимости от ваших навыков и обязанностей
• Полностью удаленная работа по всей Индии
• Предоставление надбавки на оборудование
• Признание значимых местных праздников (Индия)
• Гибкий оплачиваемый отпуск
• Прямое и регулярное общение с генеральным директором — у вас будет прямой доступ без посредников
• Возможность создать инфраструктуру и практики безопасности с нуля
• Для подачи заявки: https://weworkremotely.com/remote-jobs/zenara-health-devops-security-engineer-ai-native-healthcare-saas