Кто мы:

Sardine — ведущая платформа агентского риска для борьбы с финансовыми преступлениями. Наше интегрированное решение объединяет данные команд по рискам, чтобы помочь организациям останавливать мошенничество в реальном времени, предотвращать атаки с использованием ИИ и автоматизировать операции по борьбе с мошенничеством и противодействию отмыванию денег (AML). Платформа Sardine укреплена одним из самых быстрорастущих консорциумов по борьбе с мошенничеством на рынке, охватывающим более 6 миллиардов профилированных устройств, 800 миллионов потребителей и 3 миллиона предприятий по всему миру. Ведущие компании, включая FIS, GoDaddy, Intuit, Edward Jones, ZoomInfo и Checkout.com, полагаются на Sardine для обеспечения безопасности и укрепления доверия к своим продуктам.

Наша культура:

• Мы нанимаем талантливых, самомотивированных людей с высоким уровнем ответственности и ориентацией на рост.

• Мы ценим результат, а не количество отработанных часов. Мы считаем, что вам не стоит пропускать семейный ужин, школьное представление вашего ребенка, встречи с друзьями или приемы у врача ради соблюдения произвольного рабочего графика.

• Мы — команда с приоритетом на удаленную работу, разбросанная по разным часовым поясам, поэтому нет офиса, куда нужно приходить — работайте там, где вам удобнее всего показывать лучшие результаты. Есть лишь несколько моментов, которые нужно учитывать: оплата зависит от вашего местоположения, и вам необходимо иметь домашнюю базу в стране, в которой вы наняты. Поэтому, хотя нам нравится стиль жизни «сегодня в кафе, завтра в горах», это не удаленка без границ и без паспорта — скорее гибкость в пределах вашей страны, а не безграничная.

Местоположение:

• Удаленно — Соединённые Штаты

Роль

Sardine принимает решения по рискам и платежам для банков и финтех-компаний. Наши клиенты тщательно нас проверяют, и безопасность приложений — важная часть их проверки.

Через эту платформу проходят деньги, поэтому реальные противники изучают её. Ваша задача — найти то, что нашли бы они, особенно ошибки авторизации и злоупотребления бизнес-логикой, а затем устранить весь класс подобных уязвимостей.

Команда по безопасности приложений небольшая. Инфраструктура большая: сервисы на Go, Node.js, Python, Ruby и Java, работающие в мультиоблачной среде и Kubernetes. Это соотношение определяет характер работы. Обнаруженные уязвимости поступают от сканеров, ревью кода, тестирования, моделирования угроз, пентестеров и охотников за багами. Вы превращаете этот поток в конвейер, который проверяет, маршрутизирует и закрывает проблемы с минимальным ручным вмешательством. Затем вы используете данные конвейера, чтобы устранить коренные причины: безопасные настройки по умолчанию, паттерны, к которым инженеры обращаются в первую очередь, и исправления, которые работают.

Здесь мало что предопределено. Вы сами определяете, где риск, и идёте за ним.

Работа

На что уходит большая часть вашего времени

Управление и автоматизация конвейера уязвимостей

• Триаж, проверка, маршрутизация и контроль исправления уязвимостей из всех источников: SAST, DAST, SCA, ревью кода, пентесты и баг-баунти

• Создание автоматизации, которая устраняет ручной труд на каждом из этих этапов

• Внешние пентесты и программа баг-баунти: определение области, руководство тестировщиками, оценка серьезности и закрытие цикла

Устранение классов багов

• Выявление паттернов среди уязвимостей и устранение коренной причины, а не только отдельных случаев

• Установка безопасных паттернов и настроек по умолчанию, которые делают правильный путь самым простым

• Написание пользовательских правил статического анализа для наших собственных анти-паттернов, чтобы исправленный класс багов оставался исправленным

• Ревью контролей на уровне платформы (авторизация, идентификация сервисов, обработка секретов, применение правил шлюза), поиск пробелов и давление на ответственные команды до их устранения

• Работа вместе с инженерами над исправлениями, которые просты, принимаются и работают

Также в обязанности входит

• Практическое тестирование наших приложений и API, а также ручное ревью кода сервисов с высоким уровнем риска, с углубленным вниманием к авторизации и бизнес-логике

• Моделирование угроз для новых и высокорисковых архитектур

• Обеспечение безопасности в инженерных командах, включая программу security champions

Что мы ищем

• Автоматизированное управление уязвимостями. Опыт полного цикла управления уязвимостями и автоматизации этого процесса с помощью кода через API сканеров, систем тикетов и систем контроля версий.

• Инженерный опыт. Вы создавали и поддерживали реальное программное обеспечение. Быстро читаете незнакомый код, тщательно его ревьюите и анализируете архитектуру и возможные сценарии сбоев.

• Ответственность за результат. Вы доводите задачи до конца, включая исправления, зависящие от других команд. Вы следите за исправлением, которое рекомендовали три спринта назад.

• Суждение важнее стажа. Для нас важнее глубина вашего суждения, чем количество лет опыта.

• Аудит кода как минимум на одном из языков Go, Python, Node.js, Ruby или Java, а также готовность работать с остальными.

• Практическое знание OWASP Top 10, с глубоким пониманием нарушений контроля доступа и ошибок бизнес-логики.

• SAST, DAST и SCA в CI/CD, настроенные так, чтобы инженеры доверяли результатам. Основы облачных технологий на GCP или AWS. Docker и Kubernetes.

• Вы умеете отличать реальные уязвимости от теоретических.

• Вы открыто выражаете несогласие с доказательствами и меняете мнение, когда кто-то приводит лучшие аргументы.

• Ваше влияние распространяется асинхронно, через часовые пояса, на людей с сильными мнениями, которые не подчиняются вам напрямую.

Плюсы

• Масштабирование инструментов безопасности для множества репозиториев, языков и систем сборки

• Опыт написания пользовательских правил статического анализа (Semgrep, CodeQL или аналогичные)

• Опыт работы в финтехе, платежах или других средах с серьезным сторонним аудитом безопасности (PCI DSS, SOC 2, аудиты клиентов)

• Опыт работы в полностью распределенной, асинхронной инженерной команде

• Опыт в offensive security в любой форме. Пентестинг веба, API, мобильных приложений или облака — наиболее релевантен. Также учитывается опыт с аппаратным обеспечением и встроенными системами, физической безопасностью и lock sport, участием в red team, работой с протоколами и радиосвязью, а также результаты CTF или баг-баунти.

• Продвинутые сертификаты в offensive security. OSWE и BSCP наиболее релевантны; CPTS, CRTO и аналогичные тоже учитываются.

• Публичные работы: исследования, инструменты, раскрытия уязвимостей, доклады

Преимущества, которые мы предлагаем:

• Щедрое денежное вознаграждение и долевое участие

• Ранний выкуп всех опционов, включая предварительно вестированные

• Работа из любой точки: культура с приоритетом на удаленку

• Гибкий оплачиваемый отпуск и новогодние каникулы

• Медицинская страховка, стоматология и офтальмология для сотрудников и их иждивенцев — только для США и Канады

• 4% сопоставление взносов в 401k / RRSP — только для США и Канады

• MacBook Pro с доставкой на дом

• Одноразовая выплата на обустройство домашнего офиса — стол, кресло, монитор и т.д.

• Ежемесячная выплата на питание

• Ежемесячная выплата на социальные встречи

• Ежегодная выплата на здоровье и благополучие

• Ежегодная выплата на обучение

Присоединяйтесь к быстрорастущей компании с профессионалами мирового класса со всего мира. Если вы ищете значимую карьеру, вы нашли правильное место, и мы будем рады услышать вас.

Чтобы узнать больше о том, как мы обрабатываем вашу личную информацию и о ваших правах в отношении вашей личной информации как кандидата и сотрудника Sardine, пожалуйста, посетите наш Уведомление о конфиденциальности для кандидатов и сотрудников.