Staff Engineer, Application Security (Remote, US)

О позиции

Ежедневная Электрик (бывшая Renew Home) стремится изменить способ энергоснабжения мира, делая проще для клиентов экономить энергию и деньги дома, являясь частью крупнейшей жилищной виртуальной электростанции в Северной Америке. Мы партнёрируем с ведущими брендами для лучшего управления энергопотреблением, приоритизируя эффективность, экономию и комфорт — а также более чистую энергию для всех. Мы работодатель равных возможностей, стремящийся создать разнообразную, справедливую и инклюзивную рабочую среду.

Чем заниматься

• Определять и продвигать корпоративную стратегию безопасности во всех приложениях, облачной инфраструктуре и ИИ-системах
• Ведите архитектурные обзоры безопасности, моделирование угроз, проверку кода и тестирование безопасности
• Определять и реализовывать рамки безопасности для приложений на базе LLM, ИИ-агентов, ассистентов написания кода и интеграций MCP
• Улучшать безопасность AWS/GCP, контейнеров, CI/CD, управления идентификацией и доступом, цепочки поставок ПО через масштабируемые контроли и автоматизацию
• Улучшать процессы обнаружения, приоритизации, устранения и мониторинга проблем безопасности
• Обеспечивать техническое лидерство во время значимых инцидентов безопасности
• Партнёрствовать с командами Инженерии, Инфраструктуры, IT, Юридического отдела на архитектуре безопасности, политиках, программах соответствия

Что ждут

• 7+ лет опыта в безопасности приложений, продуктов, облаков или инфраструктуры с сильным практическим опытом инженерии безопасности
• Сильные навыки софтверной инженерии с возможностью чтения, написания и ревью продакшн-кода
• Глубокое понимание безопасности приложений и API, аутентификации и авторизации, облачной безопасности и современной разработки ПО
• Опыт проектирования масштабируемой архитектуры безопасности и контролей secure-by-default
• Понимание рисков безопасности ИИ и агентов: prompt injection, небезопасное использование инструментов, избыточные разрешения, утечка данных
• Владение сервисами безопасности AWS (IAM, WAF, GuardDuty, Inspector) и инструментами статической/динамической проверки безопасности
• Сильное понимание сетей, безопасности и интернет-протоколов (TCP/IP, DNS, SMTP, SSL)
• Доказанная способность руководить сложными инициативами безопасности через несколько команд
• Отличные коммуникативные навыки для перевода рисков безопасности в практические инженерные решения

Будет плюсом

• Опыт работы с сервисами безопасности AWS
• Знание требований SOC 2 / ISO 27001
• Опыт использования ИИ-ассистированных инструментов безопасности

Условия

• Полный рабочий день с конкурентной зарплатой от опыта
• Основа зарплаты $170k - $220k + целевой ежегодный бонус 15%
• Дальнейшие стимулы привязаны к росту и производительности компании
• Полностью удалённая работа с бюджетом на обустройство домашнего офиса
• Реальный баланс работы и жизни без предписанных лимитов на отпуск
• Льготы на родительский отпуск и забота о семьях
• Конкурентный пакет медицинских и wellness преимуществ
• 401(k) план с взносами работодателя
• Возможность работать с увлечёнными людьми в полностью удалённой среде

Навыки

• Application Security
• Cloud Security
• AWS Security
• IAM
• Security Architecture
• Threat Modeling
• SDLC Security
• CI/CD Security
• Container Security
• Vulnerability Management
• Incident Response
• API Security
• Authentication & Authorization
• OWASP Top 10
• Secure Coding
• CodeQL
• Burp Suite
• Zap
• Nuclei
• WAF
• GuardDuty
• AI Security
• LLM Security
• SOC 2
• ISO 27001
• Python
• Go
• Linux

Могут спросить на собеседовании

1. Как вы строили архитектуру безопасности для облачных приложений на AWS или GCP? Какие инструменты и паттерны использовали?
2. Расскажите о сложном случае внедрения мер безопасности в существующий SDLC, который столкнулся с сопротивлением команд разработки. Как вы преодолели сопротивление?
3. Какие основные риски вы видите в безопасности ИИ-приложений и агентных систем? Какие контрмеры предлагаете для защиты от prompt injection и утечки данных?
4. Приведите пример критического инцидента безопасности, которым вы руководили. Какие были ваши действия и чему научилась организация из этого инцидента?
5. Как вы оцениваете зрелость безопасности команды разработки? Какие метрики используете и как повышаете культуру безопасности в организации?