Security Engineer, GRC

О позиции

Вы станете ключевым техническим специалистом программы Trust & Assurance в Treasure AI — agentic experience платформе, которая помогает компаниям приобретать и удерживать самых ценных клиентов с помощью AI. Вы будете проектировать системы, которые делают комплаенс непрерывным, прозрачным в реальном времени и превращают insights из GRC в действенные решения. Ваша задача — трансформировать ручной комплаенс в программируемые процессы через API, интеграции и AI-powered автоматизации. Команда ценит инициативность, data-driven подход и ориентацию на клиента.

Чем заниматься

• Создание AI-агентских workflow (Claude, MCP integrations) для автоматизации повторяющихся задач GRC
• Конфигурация и расширение современной GRC-платформы через API и вебхуки вместо стандартного UI
• Построение автоматизированных отчётных workflow для ежемесячной и квартальной отчетности GRC
• Проектирование и поддержка пайплайнов автоматического сбора доказательств и непрерывного мониторинга контролей
• Трансляция требований комплаенса в тестируемые кодовые проверки в CI/CD и Terraform
• Внедрение лёгких комплаенс-чекпоинтов в рабочие процессы дизайн-ревью
• Поддержка FAIR-ориентированного количественного моделирования рисков через data pipelines
• Автоматизация всего жизненного цикла TPRM: онбординг вендоров, скоринг рисков, анкетирование, анализ доказательств
• Строительство дашбордов для непрерывного мониторинга привилегированного доступа и открытых исправлений
• Автоматизация pipeline ответов на вопросы клиентов, RFP и управления trust center контентом
• Автоматизация процессов осведомлённости о безопасности и обучения сотрудников

Что ждут

• Опыт 3+ года в Security Engineering, DevSecOps или Technical GRC с сильной инженерией автоматизации
• Уверенное владение Python и/или TypeScript, опыт работы с REST API, JSON/YAML, построение вебхуков
• Практический опыт создания автоматизаций и интеграций в корпоративной среде, а не только настройки OOTB features
• Опыт работы с современными GRC-платформами (Vanta, Drata, Secureframe): кастомные workflow, правила, API
• Знание стандартов SOC 2, ISO 27001/17/18, ISO 42001, HIPAA на уровне тестирования контролей программно
• Опыт внедрения AI-ассистированной автоматизации: агентские workflow, prompt pipelines, LLM-integrated интеграции
• Знание поверхности контроля безопасности AWS (IAM, CloudTrail, Config, GuardDuty)
• Знание CI/CD workflow (GitHub Actions) и IaC (Terraform)
• Отличные коммуникационные навыки и способность писать чёткую техническую документацию

Будет плюсом

• Опыт работы с агентскими инструментами (Claude Code, Cursor, аналогичные)
• Глубокое понимание принципов FAIR-моделирования рисков
• Опыт разработки дашбордов для executive readout
• Знание инструментов IGA для управления идентификацией и доступом
• Бэкграунд в DevSecOps и embedded security в SDLC

Условия

• Конкурентная система компенсаций + RSU (акции компании)
• Медицинское страхование (медицина, стоматология, зрение)
• Корпоративное страхование жизни (3x оклад)
• Страхование краткосрочной и долгосрочной нетрудоспособности
• Пенсионный план (401K) с компанией matching 4%
• Гибкий график отпусков (FTO)
• До 26 недель оплачиваемого отпуска по уходу за ребёнком, включая ночную няню после родов
• Программа поддержки сотрудников (EAP)
• Карот — глобальная программа репродуктивного здоровья и семейного планирования
• Ежегодный оффлайн-тимбилдинг в США/Канаде (менее 10% от рабочего времени)

Навыки

• Python
• TypeScript
• REST API
• JSON
• YAML
• Webhooks
• AWS IAM
• CloudTrail
• AWS Config
• GuardDuty
• GitHub Actions
• Terraform
• CI/CD
• SOC 2
• ISO 27001
• ISO 27002
• HIPAA
• AI Agents
• Prompt Engineering
• Vanta
• Drata
• Secureframe
• FAIR Risk Modeling
• IGA

Могут спросить на собеседовании

1. Опишите архитектуру, которую вы разработали для автоматизации сбора доказательств комплаенса. Какие системы интегрировались и как решалась проблема качества данных?
2. Как вы подходите к переводу текстового требования контроля (например, из SOC 2) в автоматический тест? Приведите пример.
3. Какие риски вы видите при использовании AI-агентов для задач комплаенса, и как их mitigates?
4. Как вы строите dashboard для executive readout, чтобы информация была понятной и actionable?
5. Опишите ситуацию, когда вам пришлось интегрироваться между несмежными командами. Как вы обеспечили alignment?