Инженер по безопасности продуктов (Shopware)

Что предстоит делать

Shopware — ведущая система электронной коммерции, которая позволяет компаниям по всему миру быстро и эффективно масштабироваться в цифровой торговле. Как прогрессивное open-source-решение, Shopware уже используется некоторыми из крупнейших европейских брендов, ритейлеров и производителей в сферах B2C и B2B. Помоги сделать продукты Shopware безопаснее, выявляя и снижая риски безопасности на протяжении всей разработки продукта. Ты работаешь с командами разработки продукта над исследованием уязвимостей, улучшением безопасных концепций и тестов, а также над созданием практических мер, предотвращающих повторяющиеся проблемы в Commerce Core, Services и смежных продуктовых областях. Product Security Engineering — это инженерная функция. Продуктовые команды по-прежнему отвечают за исправление и тестирование собственного кода. Эта команда привносит целевую экспертизу в области безопасности, общую дорожную карту по предотвращению и чёткую координацию межпродуктовой работы по безопасности. Исследуй сообщения об уязвимостях, предупреждения безопасности, внутренние находки и последующие действия по инцидентам безопасности. Оценивай технические последствия и помогай передавать подтверждённые задачи соответствующим Product Owner. Работай напрямую с разработчиками и разработчицами над безопасным дизайном, threat models, code reviews, анализом причин, исправлениями и регрессионными тестами для особо рискованных продуктовых областей. Разрабатывай и улучшай переиспользуемые средства контроля безопасности, руководства для разработчиков и разработчиц, тесты для сценариев злоупотребления и практическую автоматизацию для обнаружения и устранения уязвимостей. Помогай фиксировать для Product-Security-находок чёткие зоны ответственности, степени серьёзности, целевые сроки реагирования, затронутые версии и доказательства завершения. Работай с инженерными командами Commerce Core и Services над задачами безопасности across различных репозиториев, поддерживаемых версий, API, интеграций и экосистемы расширений. Поддерживай координированные релизы безопасности: определяй затронутые области, проверяй технические исправления и согласовывай действия с Engineering, Product Operations, Quality, InfoSec и DevRel. Превращай выводы из инцидентов безопасности и релизов в конкретные изменения в инженерии, тестах или инструментах. Затем отслеживай, внедрены ли эти меры. При срочных задачах общайся чётко и документируй решения в согласованных записях GitHub и Confluence, чтобы команды не были вынуждены восстанавливать статус из переписок в Slack. Участвуй в общих командных практиках и при необходимости представляй другую продуктовую область. Что тебе понадобится: Обоснованный опыт в разработке программного обеспечения и интерес к безопасности продуктов или приложений. Практические знания типичных рисков в области безопасности приложений, например уязвимостей при аутентификации и авторизации, контроля доступа, разделения данных, безопасности API, обращения с учётными данными, injection и зависимостей. Способность читать и изменять продуктивный код и тесты, понятно объяснять риски разработчикам и разработчицам и участвовать в реализации поддерживаемых исправлений. Опыт с threat modeling, тестированием безопасности, анализом уязвимостей или secure code reviews; в некоторых областях у тебя есть глубокие знания, в других ты хочешь развиваться. Хорошее суждение при оценке степени серьёзности, влияния на клиентов и клиенток и эксплуатируемости, а также при вопросе, когда проблему необходимо немедленно эскалировать. Чёткая письменная коммуникация и способность при неясных или срочных задачах работать межкомандно. Знания PHP, а также продуктов, сервисов Shopware или экосистемы расширений полезны. Опыт с автоматизацией безопасности, например Dependency Scanning, SAST, Fuzzing или тестами для сценариев злоупотребления, является плюсом. По чему ты узнаешь свой успех: Findings оцениваются единообразно, быстро передаются ответственным лицам и снабжаются видимым целевым сроком реагирования и доказательством завершения. Продуктовые команды своевременно получают практическую поддержку по вопросам безопасности и при этом сохраняют ответственность за реализацию. Проверки безопасности и тесты выявляют соответствующие риски до релиза. Где целесообразно, исправления содержат подходящие регрессионные тесты. Из последующих действий по инцидентам безопасности и релизам возникают конкретные, закреплённые за ответственными превентивные меры вместо исключительно разовых патчей. Объём релизов безопасности, затронутые версии, технические ответственные и потребность в валидации чётко задокументированы для Engineering, Product Operations, Quality, InfoSec и DevRel. В первичной продуктовой области инженера растёт экспертиза в области безопасности. При этом команда делится стандартами и при необходимости поддерживает друг друга за пределами продуктов. Что мы предлагаем: Корпоративная культура: открытая культура, плоские иерархии, поощряется инициативность. Трудовые договоры: бессрочные контракты обеспечивают долгосрочную надёжность. Гибкость: гибкий график работы и опции для мобильной работы и договоров с полным удалённым режимом. Оснащение: свободный выбор рабочего оборудования. Onboarding: хорошо структурированный onboarding с поддержкой персонального «buddy». Рабочая среда: вдохновляющая среда с увлечёнными коллегами и динамичным сообществом. Возможности развития: разнообразные шансы для личного роста и развития. Дополнительные льготы: привлекательные бенефиты, такие как корпоративное пенсионное обеспечение, программы здоровья и регулярные командные мероприятия. ... и многое другое! Подробный обзор ты найдёшь на нашей карьерной странице. Твоё контактное лицо по этой вакансии — Josephine Scheffler, и она с радостью ответит на твои вопросы! Защита твоих персональных данных имеет для нас высший приоритет. Нашу информацию для соискателей ты найдёшь здесь. Find more English Speaking Jobs in Germany on Arbeitnow