Инженер по безопасности продуктов (Product Security Engineering)

Что предстоит делать

Shopware — ведущая e-commerce система, которая позволяет компаниям по всему миру быстро и эффективно масштабироваться в цифровой торговле. Как прогрессивное open-source решение, Shopware уже используется некоторыми из крупнейших европейских брендов, ритейлеров и производителей в сегментах B2C и B2B. Создай постоянную функцию Product Security Engineering для продуктов Shopware. Команда предотвращает повторяющиеся классы уязвимостей, устанавливает чёткие зоны ответственности и сроки реагирования на задачи безопасности и помогает продуктовым командам устранять риски до того, как они превратятся в инциденты безопасности с последствиями для клиентов. Product Security Engineering отделена от существующей функции SecOps и Information Security. Функция отвечает за результаты в области Product Security Engineering и операционную модель этой работы. Она не заменяет ни governance со стороны InfoSec, ни ответственность инженерных доменов, ни согласование со стороны Quality или Product Operations. Разрабатывай и руководи риск-ориентированным Product-Security-роадмапом для Commerce Core, Services и других продуктовых направлений. Обеспечь сбалансированное соотношение профилактики, обнаружения, готовности к инцидентам и устранения. Отвечай за модель приёма и триажа Product-Security-находок из внешних сообщений, bug-bounty-программ, пентестов, уведомлений о безопасности зависимостей, внутренних обнаружений и доработок по итогам инцидентов безопасности. Согласуй степени серьёзности и целевые сроки реагирования с ответственными за домены и InfoSec, направляй каждый случай ответственному Code Owner и делай текущие сроки реагирования видимыми. Активно участвуй сам: создавай threat models для критичных с точки зрения безопасности изменений, проверяй рискованные дизайны, исследуй уязвимости и внедряй особо эффективные средства контроля безопасности в общих продуктовых компонентах или разрабатывай их совместно с другими. Внедряй воспроизводимые подходы для безопасного дизайна, security-ревью, тестирования сценариев злоупотребления, dependency- и code-сканирования, раскрытия уязвимостей и готовности к инцидентам. Координируй межпродуктовую работу по безопасности через согласованную документацию: GHSA для сведений о раскрытии, приватный GitHub-issue или Epic для фиксов и бэкпортов, а также страницу в Confluence об инциденте безопасности или релизе для ролей, решений, статуса QA и готовности коммуникации. Используй Slack для оперативного согласования и связывай принятые решения обратно с документацией. Совместно с Engineering Leads назначай каждому подтверждённому проблемному случаю технически ответственное лицо и срок выполнения. Эскалируй заблокированные исправления и остаточные риски через установленные пути принятия решений Product, InfoSec и руководства. Улучшай покрытие безопасности для поддерживаемых версий и связанных продуктов, включая Security Plugin, коммерческие компоненты, Services, а также соответствующие интерфейсы App и Extension. Руководи технической проработкой после инцидентов безопасности и релизов. Превращай первопричины в конкретные меры профилактики с чёткой ответственностью, тестами, инструментами или изменениями дизайна и отслеживай, снижают ли эти изменения повторения. Развивай и поддерживай двух инженеров, обеспечь покрытие Commerce Core и Services и сделай работу команды видимой в продуктовом планировании. Работай с InfoSec, Product Operations, Quality Operations, DevRel, Legal, Customer Support и продуктовым руководством над решениями по политикам безопасности, реагированию, релизам и коммуникации. Что тебе нужно иметь: Глубокий практический опыт в разработке ПО и подтверждённые успехи в улучшении безопасности продуктов, используемых в продакшене. Практические знания в области безопасности приложений, в частности по аутентификации, авторизации, контролю доступа, разделению данных, безопасности API, обращению с учётными данными, безопасным интеграциям и распространённым классам уязвимостей. Опыт исследования сообщений об уязвимостях и разработки на их основе протестированного и приоритизированного плана исправлений для нескольких команд или поддерживаемых версий. Способность напрямую работать с кодом и тестами и применять и улучшать инструменты безопасности, такие как SAST, Dependency Scanning, Fuzzing или тесты сценариев злоупотребления. Хорошее суждение при оценке эксплуатируемости, последствий для клиентов, степени серьёзности, координированного раскрытия и Incident Response. Чёткая техническая документация и уверенное, спокойное взаимодействие с разными командами при срочных и неоднозначных задачах. Опыт развития инженеров или руководства небольшой технической командой. Формальная кадровая ответственность полезна; техническое лидерство и коучинг существенны. Знания open-source продуктов, экосистем расширений, облачных сервисов и моделей релизов с несколькими поддерживаемыми версиями являются преимуществом. По чему ты поймёшь свой успех: Для Product-Security-находок существует единый вход, названная техническая ответственность, степень серьёзности, целевой срок реагирования и видимое подтверждение завершения. Команды могут понять, кто затронут, что исправляется и что было протестировано, не восстанавливая статус из Slack. Критичные с точки зрения безопасности изменения получают своевременную экспертную поддержку. Повторяющиеся классы уязвимостей приводят к конкретным средствам контроля и регрессионным тестам. Релизы безопасности имеют согласованный объём, центральную координационную документацию, чётко названных технических ответственных и ответственных за QA, а также проверенные релизные артефакты. Работа по безопасности представлена в планировании с чёткими компромиссами и путями эскалации, когда она конкурирует с уже обещанной продуктовой работой. Разработчики, Product Operations, Quality, InfoSec и DevRel знают, где Product Security Engineering берёт на себя ведущую роль и за что остаются ответственны соответствующие партнёры. Что мы тебе предлагаем: Корпоративная культура: открытая культура, плоские иерархии, поощряется инициативность. Трудовые договоры: бессрочные контракты обеспечивают долгосрочную надёжность. Гибкость: гибкий график работы и опции для мобильной работы и полностью удалённых контрактов. Оснащение: свободный выбор рабочего оборудования. Онбординг: хорошо структурированный онбординг с поддержкой персонального «buddy». Рабочая среда: вдохновляющая обстановка с увлечёнными коллегами и динамичным сообществом. Возможности развития: разнообразные шансы для личностного роста и развития. Дополнительные льготы: привлекательные бенефиты, такие как корпоративная пенсионная программа, программы здоровья и регулярные командные мероприятия. ... и многое другое! Подробный обзор ты найдёшь на нашей карьерной странице. Твоим контактным лицом по этой вакансии является Josephine Scheffler, и она с удовольствием ответит на твои вопросы! Защита твоих персональных данных для нас имеет высший приоритет. Нашу информацию для соискателей ты найдёшь здесь. Find Jobs in Germany on Arbeitnow