Staff Security Engineer, Product Security

О позиции

Мы ищем опытного инженера по продуктовой безопасности, который станет техническим лидером в команде PSI (Platform, Security, Infrastructure). В этой роли вы определите архитектуру безопасности для продуктов Flexport, разработаете шаблоны и reference implementations для secure-by-default подхода, а также расширите влияние своей экспертизы через программу security champions. Это не просто роль review-специалиста — вам предстоит строить инструментариум и сервисы, которые потребляются сотнями разработчиков.

Чем заниматься

• Определять архитектуру безопасности продуктов и сервисов Flexport, устанавливать паттерны и reference implementations
• Проводить security engineering reviews для наиболее рискованных фич продукта
• Создать и масштабировать программу security champions и обучение продуктовой безопасности
• Организовать threat modeling и анализ attack surface across всей product поверхности компании
• Взаимодействовать с leadership по архитектурным tradeoffs на senior-уровне
• Устанавливать стандарты триажa, репродуцирования и приоритизации bug bounty и внутренних security-отчётов
• Двигать ремедиацию системных классов уязвимостей, а не только единичных findings
• Владеть security services and tooling для продуктовых команд по глобальной инфраструктуре
• Менторить инженеров команды и выступать авторитетным техническим голосом по продуктовой безопасности

Что ждут

• 8+ лет опыта в product/application security с реальным hands-on построением security tools и сервисов
• Track record проектирования масштабируемой security архитектуры across many teams и services
• Глубокое понимание web application security principles и опыт работы с инструментами тестирования (Burp Suite, OWASP ZAP)
• Опыт написания security tools на современных языках (Go, Python, Java/Kotlin, TypeScript, Ruby)
• Track record ведения multi-team technical initiatives и менторинга инженеров в senior roles

Условия

• Широкие полномочия: вы устанавливаете архитектурные конвенции, против которых измеряются другие обзоры
• Высокий уровень влияния: созданные вами паттерны и программа champions умножаются на сотни инженеров
• Командная работа с платформенными и инфраструктурными командами (PSI team), безопасность как инженерная функция высокого качества
• Лучшее оборудование и ПО включая frontier AI модели
• Гибкий agile подход к работе
• Конкурентный пакет вознаграждения с бонусом, equity и comprehensive benefits (медицина, Dental, flexible time off)
• Работа в международных командах через Slack, video и async docs

Навыки

• Application Security
• Web Application Security
• Security Architecture
• Threat Modeling
• Burp Suite
• OWASP ZAP
• Python
• Go
• Java
• Kotlin
• TypeScript
• Ruby
• Bug Bounty Platforms
• SAST Tools
• Cloud Infrastructure
• Kubernetes
• Docker
• Identity Management
• SAML
• OAuth
• SCIM

Могут спросить на собеседовании

1. Как вы строили security architecture для масштабируемых продуктовых экосистем?
2. Приведите пример, когда вам пришлось балансировать между security requirements и business/development speed.
3. Опишите вашу experience масштабирования security champions program в крупных организациях.
4. Какие security tools/services вы построили самостоятельно вместо использования готовых решений?
5. Как вы организуете triage и prioritization security issues от bug bounty программ и внутренних отчетов?