Application Security Engineer — безопасность GenAI

Liftoff — платформа performance-маркетинга для мобильных приложений. Команда безопасности защищает клиентов, пользователей и сотрудников, выстраивает архитектуру безопасности и инструменты, работает совместно с инженерными командами над новыми продуктами. Работа охватывает инфраструктуру, веб, мобильные приложения и IT; подход к безопасности строится с точки зрения software engineering, масштабирование через автоматизацию и продуманные инструменты.

Роль individual contributor, подчиняется Director of Security и отвечает за application security для GenAI, Creative GenAI и новых направлений. Основной фокус — application security; также участие в cloud и infrastructure security, поддержка Accelerate и MX при изменении приоритетов, участие в on-call и incident-response.

Задачи:

• Устанавливать стандарты безопасной разработки ПО и интегрировать безопасность в проектирование и разработку.
• Создавать self-service пути для команд разработки для безопасного создания и развёртывания через документированные процессы ревью, переиспользуемые инструменты и безопасные паттерны проектирования.
• Проводить ревью дизайна и кода, threat modeling и оценки безопасности для GenAI, Creative GenAI и новых направлений, включая проектирование и изоляцию sandbox.
• Взаимодействовать со стейкхолдерами для формирования культуры security-minded builders.
• Триажить входящие вопросы безопасности, приоритизировать уязвимости по риску и работать с инженерными командами над своевременным устранением и проверкой.
• Оценивать вендоров и AI-инструменты на предмет безопасности и поддержки безопасного использования сотрудниками.
• Участвовать в on-call и incident-response ротации команды безопасности, включая периодические ответы вне рабочих часов.
• Проводить blameless post-incident reviews, документировать выводы и доводить до конца устранение.
• Создавать поддерживаемые инструменты безопасности и автоматизацию, включая пилот AI-assisted code-security triage, выдающий actionable findings с приемлемым для инженерии уровнем ложноположительных срабатываний.
• Совместно с Detection & Response превращать результаты application-security и threat models в улучшения детектирования и рекомендации по реагированию.
• Вносить вклад в application, cloud и infrastructure security при изменении приоритетов, включая Accelerate и MX.

Минимальные требования:

• 5+ лет релевантного опыта в security engineering или software engineering.
• Отличное суждение в приоритизации усилий по безопасности на основе риска.
• Опыт партнёрства с кросс-функциональными командами для внедрения улучшений безопасности и помощи инженерам в выборе практичных исправлений.
• Написание production-quality кода для инструментов безопасности и автоматизации, ревью pull request, работа с большими незнакомыми кодовыми базами.
• Сильное понимание безопасного проектирования ПО, безопасности приложений и API, аутентификации и авторизации, threat modeling и ревью кода.
• Опыт оценки cloud и infrastructure security и вклада за пределами основной специализации application security.
• Способность быстро понимать сложные инженерные системы и архитектуру.
• Практические привычки software engineering: тестирование, observability, контроль версий, peer code review, непрерывная интеграция, blameless postmortems.
• Сильные навыки технического письма: design documents, proposals, runbooks, post-incident reviews, поддерживающие инженерные решения. Чёткое объяснение рисков безопасности и компромиссов письменно и в разговоре.
• Готовность разделять on-call и incident-response обязанности команды безопасности, включая периодические ответы вне рабочих часов.

Желательные требования:

• Опыт с Go, Python, Clojure или JavaScript; способность работать на разных языках важнее конкретного языка.
• Опыт обеспечения безопасности GenAI-приложений, проектирования sandbox или оценки AI-assisted security инструментов и их результатов.
• Опыт масштабирования cloud security или работы с высокоскоростными инженерными командами, мобильной рекламой или другими высоконагруженными SaaS-средами.

Почему роль интересна:

• Высокая видимость и влияние: быть ключевым членом команды безопасности со значительным влиянием.
• Разнообразные и сложные проекты: работа в различных доменах, включая product security, vendor security, corporate security и infrastructure security.
• Культура инженерии с осознанием безопасности: сотрудничество с инженерными командами, которые ценят безопасность.