Vereinigte Staaten
HEARTLAND BUSINESS SYSTEMS LLC
AvePoint
Principal Security Architect, Identity Resilience
Vereinigte Staaten
New York, New York, United States
Automatische Übersetzung. Prüfe das Original.
Über AvePoint
Beyond Secure. AvePoint ist weltweit führend im Bereich Datensicherheit, Governance und Resilienz. Wir gehen über herkömmliche Lösungen hinaus, um eine robuste Datengrundlage zu gewährleisten und Unternehmen weltweit eine sichere Zusammenarbeit zu ermöglichen. Über 25,000 Kunden weltweit vertrauen auf die AvePoint Confidence Platform, um ihre kritischen Daten in Microsoft-, Google-, Salesforce- und anderen Kollaborationsumgebungen vorzubereiten, zu sichern und zu optimieren. Das globale Channel-Partnerprogramm von AvePoint umfasst etwa 5,000 Managed Service Provider, Value-Added Reseller und Systemintegratoren, wobei unsere Lösungen in mehr als 100 Cloud-Marktplätzen verfügbar sind. Weitere Informationen finden Sie unter avepoint.com.
Über die Position
Bei AvePoint investieren wir in unsere Mitarbeiter. Agilität, Leidenschaft und Teamarbeit bilden die Basis für unsere Arbeit und fördern eine Kultur, in der Sie befähigt werden, Ihre Karriere zu gestalten, etwas zu bewirken und Ihre (unsere) Zukunft selbst in die Hand zu nehmen. Entfalten Sie Ihr Potenzial!
Der Principal Architect für Identity Security fungiert als leitende technische Instanz für die Sicherheitsarchitektur der Identity-Resilience-Initiativen von AvePoint. Diese Rolle konzentriert sich darauf, wie Identitätsanbieter für Unternehmen, Identity Control Planes, Systeme für privilegierte Zugriffe, Anwendungsidentitäten und hybride Identitätsumgebungen vor, während und nach einer Katastrophe oder einer Identitätskompromittierung gesichert, als vertrauenswürdig eingestuft, isoliert, wiederhergestellt und validiert werden. Active Directory und Microsoft Entra ID sind zwei der wichtigsten Identitätsplattformen für diese Rolle, der Aufgabenbereich geht jedoch über einen einzelnen Anbieter hinaus.
Diese Rolle ist bewusst von der eines plattformspezifischen Backup- und Recovery-Architekten getrennt. Backup- und Recovery-Architekten verantworten möglicherweise die Architektur für Core-Backup, Restore, Rollback, Topologie und die maßgebliche Quelle (Source-of-Authority) für spezifische Plattformen. Dieser Identity Security Architect verantwortet das Bedrohungsmodell, die Sicherheit der Control Plane, das Vertrauensmodell für die Wiederherstellung, Integrationspunkte für die Incident-Response, Sicherheitsleitplanken für die Wiederherstellung sowie Anforderungen an die Validierung nach der Wiederherstellung, um sicherzustellen, dass Identitäts-Resilience-Plattformen unter widrigen Bedingungen vertrauenswürdig bleiben.
Der ideale Kandidat verfügt über fundierte praktische Erfahrung in der Sicherung komplexer Identitätsumgebungen in Unternehmen, einschließlich Active Directory, Microsoft Entra ID, hybrider Identität, privilegiertem Zugriff, Anwendungs- und Workload-Identitäten, Föderation, Integrationen der Identitäts-Governance und Incident-Response bei Identitätsvorfällen. Sie können glaubwürdig mit CISOs, Identitätsarchitekten, Incident-Respondern, Plattform-Ingenieuren und Produktleitern kommunizieren und diese Expertise in Produktarchitektur, Sicherheitsanforderungen und kundenorientierte Wiederherstellungsleitfäden übersetzen.
Dies ist keine allgemeine IAM-Governance-Rolle und keine reine SOC-Analysten-Position. Die richtige Person versteht Identität als Infrastruktur der Stufe 0, weiß, wie Angreifer in Identitätssystemen persistieren, und kann Produkt-Workflows entwerfen, die Kunden dabei helfen, nach einem schwerwiegenden Vorfall einen vertrauenswürdigen, einwandfreien Zustand vorzubereiten, wiederherzustellen und zu validieren.
Zu den spezifischen Verantwortlichkeiten gehören unter anderem:
- Verantwortung für die Sicherheitsarchitektur der Identity-Resilience-Plattformen von AvePoint, einschließlich Bedrohungsmodellierung, Kriterien für das Wiederherstellungsvertrauen, Schutzmaßnahmen für privilegierten Zugriff, Sicherheitsleitplanken für die Wiederherstellung und Workflows zur Validierung nach der Wiederherstellung bei großen Identitätsanbietern für Unternehmen.
- Zusammenarbeit mit Backup- und Recovery-Architekten der Plattform, um sicherzustellen, dass Workflows für Identitätswiederherstellung, Beziehungs-Wiederherstellung, Richtlinien-Wiederherstellung und die maßgebliche Quelle (Source-of-Authority) auch unter Bedingungen einer Sicherheitsverletzung sicher funktionieren, nicht nur bei der normalen administrativen Wiederherstellung.
- Definition des Sicherheitsmodells der Stufe 0 für das Produkt, einschließlich Least Privilege, Just-in-Time-Erhöhung, Anmeldeinformations-Isolierung, gMSA-Nutzung, Anforderungen an Workstations für privilegierten Zugriff, Handhabung von Break-Glass-Konten, sichere Dienstkonten, unveränderliche Audit-Trails und Trennung von Überwachungs- und Wiederherstellungsberechtigungen.
- Entwurf von Sicherheitsanforderungen zum Schutz der Backup-Control-Plane: Administratorrollen, Berechtigungen für Dienst-Apps, erteilte Berechtigungen, BYOS-Speicherkontrollen, Netzwerkeinschränkungen, Schlüsselverwaltung, Genehmigungen für Löschungen, Manipulationsschutz bei der Aufbewahrung und Validierung der Integrität von Wiederherstellungsdaten.
- Definition, wie das Produkt die Wiederherstellungsbereitschaft vor einer Sicherheitsverletzung unterstützen soll, einschließlich Dokumentation des einwandfreien Zustands, Inventarisierung kritischer Identitätsobjekte, Leitfäden zur Validierung von Break-Glass-Konten, Validierung von Wiederherstellungsberechtigungen und Bereitschaft für Out-of-Band-Kommunikation.
- Architektur sicherer Workflows für Phasen der Wiederherstellung nach einer Identitätsverletzung: vertrauenswürdige Kontrolle, Unterstützung bei Erkennung und Triage, Übergabe der Benutzerisolierung, Übergabe der Isolierung von Anwendungs- und Workload-Identitäten, Überprüfung auf Persistenz, Entscheidungstore für das Umgebungsvertrauen, Wiederherstellung des einwandfreien Zustands, Wiederherstellung nachgelagerter Workloads und Validierung.
- Übersetzung von Identitätsangriffs- und Persistenzmustern in Produktanforderungen, einschließlich bösartiger Anwendungsregistrierungen, Missbrauch von Anmeldeinformationen für Dienstprinzipale, unzulässiger Erteilung von Zustimmungen, Manipulation von Zugriffsrichtlinien, Änderungen bei der Zuweisung privilegierter Rollen, riskanten Änderungen an Föderation oder Vertrauensstellungen, Persistenz von Gastbenutzern und Missbrauch von Gruppenmitgliedschaften.
- Definition von Anforderungen für die Übergabe der Isolierung an Identity-Security-Teams, einschließlich der Frage, wann das Produkt Kunden bei Token-/Sitzungswiderruf, Sequenzierung von Passwortzurücksetzungen, Rotation von Anmeldeinformationen für Dienstprinzipale, Deaktivierung von Apps, Überprüfung der Administratorzustimmung und Notfallkontrollen für Conditional Access anleiten oder warnen sollte.
- Entwurf sicherer Wiederherstellungsmuster für Conditional Access, einschließlich Validierung von Abhängigkeiten, Schutz von Break-Glass-Konten, Handhabung des Richtlinienstatus, Optionen für Wiederherstellung als deaktiviert/nur-Bericht (sofern unterstützt) und Genehmigungs-Checkpoints vor der Reaktivierung von Richtlinien mit hoher Auswirkung.
- Entwurf von Sicherheitsanforderungen für die Anwendungswiederherstellung, einschließlich generierter App-Geheimnisse, neuer Schlüssel-IDs, erneuter API-Berechtigungserteilung, Vorbehalten bei Berechtigungen für Unternehmensanwendungen, Validierung von SSO/Bereitstellung, Workflows zur Rotation von Anmeldeinformationen und sicherer Berichterstattung über Geheimnisse oder Sanierungsaufgaben.
- Definition, wie das Produkt den aktuellen Status mit einwandfreien Backups vergleichen soll, ohne die Erkennung zu überbewerten: Objekte nach dem Wiederherstellungspunkt, geänderte privilegierte Zuweisungen, geänderte App-Anmeldeinformationen, geänderte CA-Richtlinien, geänderte benannte Standorte und geänderte Mitgliedschaften.
- Verantwortung für das Sicherheitsvalidierungsmodell nach der Wiederherstellung: Validierung kritischer Objekte, Validierung privilegierter Zugriffe, Validierung von Apps/Dienstprinzipalen, Validierung von CA-Abhängigkeiten, Validierung von Break-Glass-Zugriffen, manuelle Checklisten zur Sanierung sowie Nachweise/Berichte für Sicherheits-, Audit- und Compliance-Teams.
- Einbringung fundierter Expertise dort, wo Identitätsplattformen spezialisierte Sicherheitsleitfäden für die Wiederherstellung erfordern, einschließlich Risiko von Active Directory-Gesamtstruktur-/Domänenvertrauensstellungen, Vertrauensgrenzen von Domänencontrollern, Handhabung von krbtgt und privilegierten Anmeldeinformationen, AD CS- und Zertifikatsmissbrauchsüberlegungen, SYSVOL/GPO-Integrität, DNS-Vertrauensannahmen und sichere Sequenzierung während der Wiederherstellung der Gesamtstruktur.
- Zusammenarbeit mit Produkt-, Engineering-, Architektur-, Sicherheits- und Field-Teams, um Sicherheits- und Wiederherstellungsanforderungen in Epics, Design-Reviews, Akzeptanzkriterien, Testpläne und kundenorientierte Wiederherstellungsleitfäden umzusetzen.
- Durchführung von Kunden- und Field-Discovery mit CISOs, Incident-Respondern, AD-Architekten, Entra ID-Administratoren, Identity-Security-Teams, MSPs und regulierten/staatlichen Kunden, um reale Sicherheits- und Wiederherstellungsszenarien zu validieren.
- Verfolgung von Wettbewerbs- und Marktmustern bei Microsoft, Semperis, Quest, Cayosoft, Rubrik, Commvault, Veeam, CrowdStrike Identity, Microsoft Defender for Identity und verwandten ITDR/Identity-Resilience-Anbietern, mit Schwerpunkt auf Sicherheits- und Wiederherstellungs-Workflows statt auf allgemeinem Funktionsvergleich.
- Mentoring interner Engineering- und Produktteams zu AD/Entra-Sicherheitskonzepten, Identitätsangriffspfaden, Prinzipien der Wiederherstellungssicherheit und dem Aufbau sicherheitsorientierter Workflows für Infrastruktur der Stufe 0.
Was Sie in unser Team einbringen
- Bachelor-Abschluss in Informatik, Ingenieurwesen, Informationssystemen, Cybersicherheit oder einem verwandten technischen Bereich; gleichwertige praktische Erfahrung wird nachdrücklich berücksichtigt.
- 12+ Jahre praktische technische Erfahrung in Identitätsinfrastruktur, Cybersicherheitsarchitektur, Incident-Response oder Security Engineering mit tiefer Spezialisierung auf Identitätssicherheit in Unternehmen.
- Direkte Erfahrung bei der Sicherung oder Wiederherstellung komplexer Identitätsumgebungen, einschließlich Active Directory, Microsoft Entra ID, hybrider Identität, Föderation, Vertrauensbeziehungen, Grenzen für privilegierten Zugriff, Anwendungsidentitäten, Workload-Identitäten sowie Bereitschaft für Ransomware- oder destruktive Angriffe.
- Fundiertes Verständnis der AD-Sicherheitsinterna: Kerberos, NTLM, LDAP, ACLs/Delegierung, privilegierte Gruppen, Admin-Tiering, DCSync/Replikationsrechte, krbtgt-Rotation, Risiko von Golden/Silver Tickets, Domänen-/Gesamtstruktur-Vertrauensstellungen, SID-Historie, SPNs, eingeschränkte/nicht eingeschränkte/ressourcenbasierte eingeschränkte Delegierung, SYSVOL/GPO-Sicherheit, DNS und AD CS/PKI-Risiko.
- Fundiertes Verständnis der Entra ID-Sicherheitsarchitektur: Conditional Access, PIM, privilegierte Rollen, administrative Einheiten, Authentifizierungsmethoden, Identity Protection, App-Registrierungen, Unternehmensanwendungen, Dienstprinzipale, OAuth-Zustimmung, Workload-Identitäten, mandantenübergreifender Zugriff, Föderation und Token-/Sitzungsverhalten.
- Starkes Verständnis der hybriden Identitätssicherheit: Entra Connect, Cloud Sync, Passwort-Hash-Synchronisierung, Pass-Through-Authentifizierung, AD FS/Föderation, sourceAnchor/ImmutableID, Hard/Soft Match, Konflikte bei der maßgeblichen Quelle (Source-of-Authority) und wie sich eine Kompromittierung vor Ort auf Microsoft 365/Entra-Umgebungen auswirken kann.
- Praktische Erfahrung mit Workflows für Incident-Response und Wiederherstellung bei Identitätsvorfällen, einschließlich Isolierung kompromittierter Benutzer, Konzepte für den Widerruf von Refresh-Token/Sitzungen, Reaktion auf Kompromittierung von Anwendungen/Dienstprinzipalen, Überprüfung der API-Zustimmung, Rotation von Anmeldeinformationen, Notfallreaktion bei Conditional Access und Entfernung von Persistenz.
- Erfahrung im Entwurf von Sicherheitsarchitekturen für hochprivilegierte Tools oder Plattformen, die gegen Infrastruktur der Stufe 0 arbeiten, einschließlich sicherer Handhabung von Anmeldeinformationen, Least Privilege, Funktionstrennung, Audit-Logging, Manipulationsschutz, Genehmigungs-Workflows und vom Kunden verwalteten Schlüssel-/Speichermodellen.
- Vertrautheit mit Anforderungen an Disaster Recovery und Business Continuity für Identitätssysteme, einschließlich RTO/RPO-Abwägungen, einwandfreien Baselines, sauberen Wiederherstellungsumgebungen, Entscheidungen zwischen In-Place-Wiederherstellung und Wiederherstellung eines sauberen Mandanten sowie Validierung nach der Wiederherstellung.
- Fähigkeit, komplexe Sicherheitsanforderungen in Produktanforderungen, Architekturmuster, Workflow-Leitplanken, kundenorientierte Warnungen und Akzeptanzkriterien zu übersetzen, die Engineering-Teams implementieren können.
- Starke kundenorientierte Glaubwürdigkeit bei CISOs, Identitätsarchitekten, AD-Ingenieuren, SOC/IR-Teams, Compliance-Führungskräften und Stakeholdern auf Führungsebene.
- Nachgewiesene Fähigkeit, ohne formale Autorität über Produkt-, Engineering-, Sicherheits-, Architektur-, Customer-Success-, Sales-Engineering- und Partnerteams hinweg zu führen.
- Bonus: Erfahrung in der Arbeit bei oder mit Anbietern, die AD/Entra-Backup-, Recovery-, ITDR-, Identitätsschutz- oder hybride Identitäts-Resilience-Produkte entwickeln, wie Semperis, Quest, Cayosoft, Microsoft, Rubrik, Commvault, Veeam, CrowdStrike Identity, Mandiant oder gleichwertige.
- Bonus: Erfahrung mit Microsoft Defender for Identity, Microsoft Defender XDR, Microsoft Sentinel, Splunk, CrowdStrike, Semperis DSP, Quest, Cayosoft Guardian oder ähnlichen Ökosystemen zur Identitätserkennung/-reaktion.
- Bonus: Relevante Zertifizierungen oder Anerkennungen wie Microsoft Certified: Cybersecurity Architect Expert, Identity and Access Administrator, CISSP, GIAC, Microsoft MVP oder gleichwertige praktische Expertise.
Die Gehaltsspanne für diese Rolle liegt bei $180,000k - $270,000. Bei AvePoint streben wir danach, wettbewerbsfähige, faire und gerechte Gesamtvergütungen anzubieten. Die aufgeführte Gehaltsspanne stellt eine Schätzung nach bestem Wissen dar, wobei endgültige Angebote auf Standort, Erfahrung, Fähigkeiten und Qualifikationen basieren. Die aufgeführte Spanne spiegelt nur das Grundgehalt wider; unsere Gesamtvergütung umfasst Grundgehalt, umfassende Sozialleistungen (medizinische Versorgung, Zahnversicherung, Sehhilfe, 401(k) mit Arbeitgeberzuschuss, unbegrenzter Urlaub) und je nach Rolle Boni, Provisionen oder Eigenkapital (RSUs). Wir sind offen für Gehaltsgespräche – bewerben Sie sich auch dann, wenn Ihre Erwartungen außerhalb der Spanne liegen.
Alle personenbezogenen Daten, die Sie uns während des Bewerbungsprozesses mitteilen, werden streng unter Einhaltung der geltenden Datenschutzgesetze und unserer Datenschutzerklärung verarbeitet.
Mehr Möglichkeiten mit einem Profil
Für mehr Stellen berücksichtigt werden, ohne den ganzen Prozess zu wiederholen? Erstellen Sie Ihr Profil, damit Unternehmen auf Nort Sie finden.
Profil erstellen