Про посаду

ServiceNow шукає старшого інженера з безпеки продуктів для ролі старшого технічного експерта в команді реагування на інциденти з безпекою продуктів (PSIRT). PSIRT є можливістю ServiceNow для поінформованості, реагування та розслідування щодо вразливостей після випуску в продуктах, розроблених ServiceNow, та сервісних пропозиціях.

Ця посада призначена для визнаного експерта, який може працювати як самостійно, так і в складі команди над найважливішими проблемами безпеки, з якими стикається платформа - вразливості, які потребують оцінки нематеріальних факторів. Ви будете керувати глибокими розслідуваннями, координувати вирішення проблем між інженерними, продуктовими та релізними командами та демонструвати спокійне, рішуче керівництво під час значних подій з безпекою.

Обов'язки

Керівництво під час значних подій з безпекою
- Демонструвати технічне та організаційне керівництво під час цих подій, забезпечуючи структуру та чітке прийняття рішень під тиском.
- Співпрацювати з командирами інцидентів, керівництвом з інформаційної безпеки бізнесу, інженерними та службами підтримки клієнтів для підтримання чіткої відповідальності, пріоритетності робочих процесів та передачі під час цих подій.
Зменшення вікна впливу
- Забезпечувати скоординовану відповідь на уражені релізи, балансуючи ризик та можливість виправлення.
- Використовувати розуміння циклів розробки продуктів та партнерства між інженерією та продуктом для проходження виправлень через конвеєр випуску без затримок на організаційних кордонах.
- Перевіряти повноту виправлень та захищати від неповних міритв перед випуском.
Керувати процесом CVE та скоординованим розкриттям інформації
- Співпрацювати з зовнішніми партнерами з безпеки, постачальниками та дослідниками щодо скоординованого розкриття інформації, узгоджуючи графіки та повідомлення між сторонами.
- Проводити технічну перевірку зовнішніх порад, статей дослідників та спільного вмісту розкриття для забезпечення правильності перед публікацією.
- Представляти технічну позицію PSIRT у багатосторонніх скоординованих розкриттях та взаємодіях з дослідниками.
Переслідування результатів після дій та постійне вдосконалення
- Писати ретроспективи та забезпечувати закриття уроків, отриманих після інцидентів з безпекою продуктів.
- Брати участь у ретроспективах після значних подій з безпекою продуктів, перетворюючи висновки на конкретні процесні та технічні покращення.
- Сприяти командам партнерів у відстеженні тем ризику безпеки продуктів та трендів у всьому портфелі.
- Сприяти областям вдосконалення SDLC, передаючи уроки з інцидентів у практики безпечного розроблення.

Вимоги

Мінімум 12 років відповідного досвіду з бакалаврським ступенем; або 8 років із ступенем магістра; або PhD з 5 роками досвіду; або еквівалентний досвід.
Мінімум 5 років аудит вихідного коду на предмет вразливостей безпеки.
Демонстрований досвід керівництва під час значних подій з безпекою або великих інцидентів, з готовністю брати участь у черговості.
Здатність читати та розуміти код Java та JavaScript.
Глибоке розуміння поширених вразливостей Java та JavaScript.
Володіння скриптовою мовою як Python, так і JavaScript для збору даних, обробки та візуалізації.
Розробка доказів концепції експлойтів для вразливостей веб-додатків.
Письмова та усна комунікація складних ризиків безпеки чітко для технічних команд та керівництва.
Досвід у керівництві впровадженням виправлень та координацією випуску між інженерними, продуктовими та тестово-релізними командами.
Володіння глибокими розслідуваннями безпеки продуктів та аналізом кореневих причин, що охоплюють дизайн, код, конфігурацію та операційні шари.
Аналіз експлойтів та розробка доказів концепції, що відрізняють реальну експлойтабельність від теоретичного ризику.
Знайомство з інтеграцією SDLC, CI/CD конвеєрами, моделями загроз SaaS та практиками безпечного розроблення.
Досвід у керівництві процесом розкриття CVE, включаючи призначення CVE, оцінку (CVSS) та публікацію порад.

Буде плюсом

Досвід роботи в PSIRT або аналогічній функції для великої програмної платформи або SaaS.
Визнана експертиза у відповіді на інциденти з безпекою продуктів, дослідженні вразливостей або безпеці додатків у програмному або SaaS середовищі.
Досвід проведення оцінки вразливостей на платформі ServiceNow.
Досвід роботи з новими загрозами: специфічними для AI векторами атак, безпекою ланцюжка постачання програмного забезпечення та безпекою інструментів SDLC.
Досвід роботи з хмарною інфраструктурою (AWS, Azure, GCP) та контейнеризованими середовищами.
Відповідні сертифікати безпеки (наприклад, OSWE) або демонстрована еквівалентна експертиза.

Ми пропонуємо

Конкурентоспроможна зарплата
Повна зайнятість
Тип співробітника: Постійний
Регіон: EMEA - Європа, Середній Схід та Африка
Тип роботи: Гнучкий

Про компанію

Все почалося, коли інженер Фред Ладді написав код, який автоматизував нудне завдання для його колеги Філліс. Вона плакала від радості. Цей момент надихнув Фреда створити компанію, яка могла б зробити це для всіх - звільнити людей від рутинної роботи, щоб вони могли зосередитися на значущій роботі. Сьогодні ServiceNow є AI контрольною вежею для реінвентаризації бізнесу. Наша платформа ServiceNow AI об'єднує будь-який AI, будь-які дані та будь-який робочий процес - допомагаючи 85% компаній із Fortune 500® працювати розумніше, швидше та краще. Ми будуємо культуру AI-рідної, де технологія та таланти непереможні разом. І ми тільки починаємо.

Приєднуйтесь до нас, щоб застосувати AI для людей.

Додаткова інформація

Типи роботи

Ми підходимо до нашого розподіленого світу роботи з гнучким та довірчим підходом. Типи роботи (гнучкі, віддалені або необхідні в офісі) - це категорії, які присвоюються співробітникам ServiceNow залежно від характеру їхньої роботи та призначеного місця роботи. Дізнайтеся більше тут. Щоб визначити право на тип роботи, ServiceNow може підтвердити відстань між вашим основним місцем проживання та найближчим офісом ServiceNow за допомогою сторонньої служби.

Рівні можливості

ServiceNow є роботодавцем, який забезпечує рівні можливості. Усі кваліфіковані кандидати будуть розглянуті для працевлаштування незалежно від раси, кольору шкіри, релігії, статі, сексуальної орієнтації, національності, віку, інвалідності, гендерної ідентичності, статусу ветерана чи будь-якої іншої категорії, захищеної законом. Крім того, усі кваліфіковані кандидати з записами про арешти або засудження будуть розглянуті для працевлаштування відповідно до законних вимог.

Пристосування

Ми прагнемо створити доступний та інклюзивний досвід для всіх кандидатів. Якщо вам потрібна розумна адаптація для завершення будь-якої частини процесу подання заявки або ви не можете використовувати цей онлайн-запис і потребуєте альтернативного способу подання заявки, будь ласка, зв'яжіться з [email protected] для отримання допомоги.

Регулювання експортного контролю

Для посад, які вимагають доступу до контрольованих технологій, що підпадають під регулювання експортного контролю, включаючи Регламент адміністрації експорту США (EAR), ServiceNow може потребувати отримання дозволу на експортний контроль від урядових органів для певних осіб. Уся зайнятість залежить від отримання ServiceNow будь-якої експортної ліцензії чи іншого дозволу, який може знадобитися відповідним органам з експортного контролю.

Sr Staff Product Security Engineer - Product Security Incident Response Team (PSIRT)

Job description