Security Engineer

Что предстоит делать

Компания в сфере Health-Tech, работающая в облачной среде и использующая ИИ в скрытом режиме, ищет отличного долгосрочного Security Engineer. Эта роль предполагает построение и поддержание безопасности по всей платформе на Google Cloud — управление идентификацией и доступом (Cloud IAM, Workload Identity), сетевые и периметровые средства контроля (VPC Service Controls, Cloud Armor), шифрование и секреты (Cloud KMS, Secret Manager), оценка защищённости и обнаружение угроз (Security Command Center, Cloud Audit Logs), а также безопасность цепочки поставок программного обеспечения — защищает Protected Health Information (PHI) в соответствии с HIPAA и вносит практический вклад в моделирование угроз, реагирование на инциденты безопасности и аудиты, помогая команде предоставлять безопасный, соответствующий требованиям и надёжный сервис. Компенсация и льготы: Оплачиваемый отпуск Компания придерживается политики неограниченного оплачиваемого отпуска (Unlimited PTO) и дополнительно компенсирует новогодние праздники. Злоупотребление этой политикой не приветствуется, хотя вполне возможно взять как минимум две недели — и полностью оплачиваемого — отпуска или больше. Корпоративное оборудование Компания предоставляет корпоративное оборудование сотрудникам, прошедшим испытательный срок, а также доказавшим свою ценность. Средства коммуникации Мы используем Google Workspace, Slack, Zoom и аналогичные инструменты для совместной работы для обмена сообщениями, проведения встреч и обмена документами по всей организации. Мы не используем Microsoft Outlook, Microsoft Teams и аналогичное программное обеспечение. Местоположение и часовой пояс Мы ориентированы на найм в часовых поясах, пересекающихся с США или Западной Европой. Также рассматриваем дополнительные локации, где пересечение часовых поясов и соблюдение требований по расчёту заработной платы могут быть надёжно обеспечены, включая некоторые страны Восточной Европы и Ближнего Востока (Болгария, ОАЭ и т.д.). Целевой стек ПРИМЕЧАНИЕ: Аналогичный опыт работы с Cloud-Native всегда является вариантом. ПРИМЕЧАНИЕ: Знание любой OLTP-базы данных (вместо Cloud Spanner) всегда является вариантом. ПРИМЕЧАНИЕ: Знание любой OLAP-базы данных (вместо BigQuery) всегда является вариантом. Некоторые элементы нашего стека • Google Cloud Platform • Cloud IAM, Workload Identity и Organization Policies • Security Command Center и Cloud Armor • Cloud KMS и Secret Manager • VPC Service Controls и Private Service Connect • Cloud Audit Logs и Cloud Logging • Sensitive Data Protection (Cloud DLP) • Google Kubernetes Engine • Python (FastAPI, pytest) • Go • gRPC и Protocol Buffers • BigQuery • Cloud Spanner • Pub/Sub • Terraform • Helm и Kustomize • Git (GitHub, GitFlow) и GitHub Actions • Google Cloud Build • Безопасность цепочки поставок (Artifact Analysis, Binary Authorization, SLSA) • LLM и GenAI (Vertex AI, Anthropic Claude) • OpenSearch / Elasticsearch • GSuite • SonarSource • LucidChart

• Усиливать безопасность GCP и GKE: IAM по принципу минимальных привилегий, Workload Identity, Organization Policies, сетевые политики и VPC Service Controls, зафиксированные в Terraform.
• Управлять секретами, ключами и шифрованием (Secret Manager, Cloud KMS), а также защищать PHI с помощью классификации данных и средств контроля DLP.
• Обеспечивать безопасность цепочки поставок программного обеспечения: SAST, сканирование зависимостей и контейнеров, подпись образов и контрольные точки политик в GitHub Actions и Cloud Build.
• Мониторить состояние безопасности и угрозы (Security Command Center, Cloud Audit Logs) и вносить практический вклад в реагирование на инциденты безопасности и анализ первопричин.
• Сотрудничать с инженерами в области моделирования угроз, безопасного проектирования и проверки кода, а также безопасного использования функций LLM/GenAI.
• Поддерживать соответствие требованиям HIPAA и SOC 2: проверки доступа, оценки рисков, сбор доказательств и готовность к аудиту.
• Содействовать формированию культуры безопасности, ответственности и постоянного совершенствования.
• Требуемый опыт
• 1+ лет опыта в ролях Security, Cloud Security, DevSecOps, SRE или Platform Engineering.
• Хорошие навыки коммуникации и сотрудничества; способность работать с распределёнными командами.
• Практический опыт работы с инструментами и практиками облачной безопасности (IAM, KMS, управление секретами, сканирование уязвимостей, Security Command Center или аналогичные).
• Самостоятельный и инициативный специалист; готовность вносить практический вклад в автоматизацию безопасности и policy-as-code.
• Продемонстрированная способность обеспечивать постоянное совершенствование, операционное превосходство и ответственность за безопасность.
• Опыт с HIPAA, SOC 2 или HITRUST, а также моделирование угроз является плюсом.
• Основы:
• Глубокое знание основ, таких как сети, криптография, операционные системы, алгоритмы и структуры данных и т.д., всегда в приоритете.
• Эта роль предполагает развитие решений через инкрементальную поставку (Incremental Delivery), а не подход в стиле Waterfall.
• Более глубокое знание Terraform и GCP всегда в приоритете.
• Команда экспертов, предоставляющая аналитические услуги для клиентов в сфере здравоохранения, ищет Security Engineer.
• Вы станете частью международной команды высококлассных профессионалов, объединённых стремлением создавать продукты, которые реально улучшают качество медицинских услуг.
• Обязанности:
• Усиливать безопасность GCP и GKE: система управления доступом (IAM) по принципу минимальных привилегий, идентификация рабочих нагрузок, политики организации, сетевые политики и средства контроля сервисов VPC, зафиксированные в Terraform.
• Управлять секретами, ключами и шифрованием (Secret Manager, Cloud KMS), а также защита конфиденциальной медицинской информации (PHI) с помощью классификации данных и средств контроля DLP.
• Обеспечивать безопасность цепочки поставок программного обеспечения: SAST, сканирование зависимостей и контейнеров, подпись образов и контрольные точки политик в GitHub Actions и Cloud Build.
• Мониторинг состояния безопасности и угроз, а также принимать активное участие в реагировании на инциденты безопасности и анализе их первопричин. Сотрудничать с инженерами в области моделирования угроз, безопасного проектирования и проверки кода, а также безопасного использования функций LLM/GenAI. Обеспечивать соответствие требованиям HIPAA и SOC 2: проверка доступа, оценка рисков, сбор доказательств и подготовка к аудиту.
• Содействовать формированию культуры безопасности, ответственности и постоянного совершенствования.