Staff Product Security Engineer

UpGuard — компания, которая заменяет ручные процессы безопасности на AI-решения. Платформа Cyber Risk Posture Management (CRPM) обрабатывает 100 млрд сигналов риска ежедневно. Компания привлекла US$75M Series C и масштабирует инфраструктуру.

Это первая выделенная позиция по продуктовой безопасности в UpGuard. Вы получите значительную автономию в определении стандартов безопасности, инструментов и практик, которые будут защищать продукты и инфраструктуру компании.

В первые 6–12 месяцев:

• Обновить моделирование угроз и проверки безопасности как стандартную часть процесса выпуска.
• Определить, где AI реально помогает в AppSec (ревью кода, триаж, покрытие), и внедрить работающие решения.
• Укрепить базовые конфигурации GCP и Kubernetes, внедрить безопасные по умолчанию настройки в infrastructure-as-code.

Задачи:

• Вести моделирование угроз и проверки безопасности для продуктов и облачной инфраструктуры, выявлять векторы атак и проектировать масштабируемые стратегии защиты.
• Создавать автоматизацию, policy-as-code и AI-инструменты безопасности для сдвига влево и встраивания безопасности в SDLC, используя агентные workflow для триажа и ревью.
• Проектировать и внедрять безопасные по умолчанию конфигурации для облачной и Kubernetes-инфраструктуры.
• Управлять уязвимостями от начала до конца: триаж, приоритизация по реальному риску, устранение совместно с инженерными командами, превентивные контроли в цепочке поставок ПО.
• Строить масштабируемые системы обнаружения и реагирования, которые выявляют вредоносную активность, фильтруют шум и управляют инцидентами.
• Выстраивать партнерства с продуктовыми и платформенными командами для безопасного проектирования решений.

Требования:

• 7+ лет опыта в security engineering, software engineering или security operations в облачных средах.
• Опыт облачной безопасности (предпочтительно GCP, но AWS или Azure также подходят).
• Опыт работы с облачными Kubernetes-сервисами (EKS/GKE/AKS) и сильное понимание принципов безопасности контейнеров.
• Сильное понимание защиты IAM и облачных идентичностей.
• Опыт проведения технических проверок безопасности продуктов и архитектур, моделирования угроз и превращения находок в контроли.
• Сильное знание распространенных уязвимостей веб-приложений и способов их предотвращения (OWASP Top 10 и аналогичные).
• Практический опыт с IAC и связанными инструментами (предпочтительно Terraform/OpenTofu).

Будет преимуществом:

• Опыт первой позиции по безопасности или founding member функции безопасности в растущей компании.
• Знакомство с рисками безопасности AI/LLM (например, OWASP LLM Top 10) и защитой AI-функций продуктов.
• Сильные навыки backend-разработки, особенно на Go.
• Опыт поддержки аудитов SOC 2 / ISO 27001 с инженерной стороны.
• Публичные исследования в области безопасности, CVE, open-source инструменты безопасности или доклады на конференциях.
• Навыки offensive security с возможностью подтверждать находки через практическую эксплуатацию.

Условия:

• Полностью удаленная работа с опциональными офисами в Сиднее и Хобарте, без обязательного посещения офиса.
• Компенсация настройки рабочего места из дома.