Описание вакансии
Коротко о роли-Product Security Ownership: Partner with engineering teams to identify and address security risks across Phantom’s mobile applications, web products, APIs, and backend services. -5+ years of experience in product security, application security, security engineering, or software engineering, including experience operating at a senior or staff level.
Задачи:
— Партнёрство с инженерными командами для выявления и устранения рисков безопасности в мобильных приложениях, веб-продуктах, API и бэкенд-сервисах Phantom.
— Проведение обзоров безопасности новых продуктов и крупных архитектурных изменений с акцентом на границы авторизации, чувствительные данные, целостность транзакций, ключевые материалы и интеграции с третьими сторонами.
— Внедрение практических мер безопасности в жизненный цикл разработки ПО: от проектирования и реализации до тестирования, релиза и эксплуатации.
— Проведение AI-ассистированных обзоров кода и целенаправленного тестирования функций с высоким риском.
— Создание повторяемых подходов для обнаружения уязвимостей до выхода в продакшн.
— Разработка и улучшение инструментов безопасности, обеспечивающих быстрый и действенный фидбек для инженеров без излишних препятствий, с использованием автоматизации и AI.
— Усиление безопасности цепочки поставок ПО: защита CI/CD, сборочных и релизных систем от угроз, включая риски зависимостей, утечку секретов, происхождение сборок, целостность артефактов и скомпрометированные рабочие процессы.
— Управление уязвимостями: сортировка результатов внутренних тестирований, исследований, багбаунти и сторонних оценок, взаимодействие с владельцами для оценки реального воздействия и контроля исправлений.
— Поддержка расследований инцидентов безопасности продуктов и подозрительной активности, преобразование уроков инцидентов в улучшения архитектуры, обнаружения и стандартов инженерии.
— Техническое лидерство: установление паттернов и ожиданий по безопасности продуктов в инженерных командах, руководство межфункциональными инициативами и влияние на архитектуру за пределами одной команды.
Требования:
— Опыт 5+ лет в области безопасности продуктов, приложений, инженерии безопасности или разработки ПО, включая опыт на уровне senior или staff.
— Глубокое понимание безопасности веб, мобильных, API и распределённых систем: аутентификация, авторизация, управление сессиями, криптография, распространённые классы уязвимостей.
— Практический опыт создания или применения AI-ассистированных инструментов безопасности для тестирования приложений и API, сочетание автоматического анализа, обзора исходного кода и ручной проверки.
— Умение проводить обзоры кода на одном или нескольких языках: TypeScript, JavaScript, Rust, Python, Go.
— Опыт обеспечения безопасности цепочек поставок ПО и CI/CD систем: зависимости, инфраструктура сборки, секреты, артефакты, подписи и целостность релизов.
— Опыт моделирования угроз сложных продуктов и трансляции рисков безопасности в конкретные инженерные требования.
— Сильное суждение при оценке возможности эксплуатации уязвимостей, бизнес-воздействия и подходящих мер исправления.
— Успешный опыт сотрудничества с инженерными и продуктовыми командами при поддержании высокого уровня безопасности.
— Чёткие письменные и устные коммуникационные навыки, включая способность объяснять технические риски как инженерам, так и не специалистам по безопасности.
Преимущества:
— Опыт обеспечения безопасности потребительских финансовых продуктов, кошельков, платежей или других систем с критичной целостностью клиентов и безопасностью транзакций.
— Знакомство с блокчейн-системами, взаимодействиями со смарт-контрактами, симуляцией транзакций, процессами подписания и архитектурой кошельков с самостоятельным хранением.
— Опыт обеспечения безопасности расширений браузера или нативных мобильных приложений.
— Опыт создания и интеграции инструментов безопасности приложений, статического или динамического анализа, инфраструктуры тестирования безопасности или контроля политик как кода.
— Знакомство с AWS, Kubernetes, CI/CD системами и облачными сервисными архитектурами.
— Опыт работы с программами багбаунти или координации внешних оценок безопасности.
Условия:
— Полностью удалённая работа, открыта для кандидатов из США, Великобритании и Канады.
— Целевая годовая базовая зарплата от $200,000 до $250,000 с дополнительными опционами и льготами.
— Конкурентная зарплата и опционы.
— Комплексное страхование (медицинское, стоматологическое, офтальмологическое) с полной оплатой базового плана.
— Гибкий график и поддержка удалённой работы.
— Неограниченный отпуск.
— Пенсионный план 401(k).
— Стипендии на здоровье, питание, обучение и оборудование для удалённой работы.
— Компания стремится к разнообразию и инклюзивности, поддерживает кандидатов с разным опытом.