Vereinigte Staaten
HEARTLAND BUSINESS SYSTEMS LLC
Lockton
Global Application Security Lead
Vereinigte Staaten
Overland Park, Kansas, United States
JavaScriptTypeScriptPythonJavaGo
Automatische Übersetzung. Prüfe das Original.
Über die Stelle
Der Global Application Security Lead verantwortet die tägliche Umsetzung des Application-Security- und DevSecOps-Programms über alle Geschäftsbereiche und Regionen hinweg. Die Rolle ist verantwortlich für die Sicherheitskontrollen, die in den Softwareentwicklungslebenszyklus eingebettet sind – von sicherem Design und Threat Modeling bis hin zu statischer und komponentenbasierten Analyse, dynamischen Tests, Secrets Management und der Härtung der Produktion.
Dies ist eine praxisorientierte technische Führungsrolle mit Personalverantwortung. Der Lead leitet das Application-Security-Engineering-Team, legt die Arbeitsstandards fest, denen die Engineering-Teams folgen, betreibt die AppSec-Tool-Landschaft und führt Tests auf Anwendungsebene durch bzw. leitet diese an. Strategie, Budget und Executive Reporting liegen beim Global Enterprise Security Architect; der Lead ist verantwortlich für die Umsetzung dieser Strategie, die technische Qualität des Programms sowie die Leistung und Entwicklung des Teams.
Details zur Position
Berichtet an: Global Enterprise Security Architect, Security Architecture and Engineering (SA&E)
Standort: Kansas City, MO. Drei Tage pro Woche im Büro.
Reisetätigkeit: Gelegentliche Reisen zu regionalen Technologie-Hubs.
Abdeckung: Unterstützung von Engineering-Teams in den Zeitzonen US, UK, MENA und APAC.
Direkte Unterstellte: 2 Application Security Engineers sowie technische Leitung der LGCC Offshore-Engineering-Ressourcen.
Erste 12 Monate - Erfolgsmessung
- AppSec-Tools bereitgestellt und integriert über 80%25 der Repositories der Stufe 1 und Stufe 2 mit vereinbarter Scan-Abdeckung
- Risikoeinstufung für das gesamte Anwendungsportfolio abgeschlossen und Kontrollanforderungen pro Stufe veröffentlicht
- Behebungs-SLAs definiert, mit der Engineering-Führung vereinbart und monatlich berichtet
- Security-Champions-Programm in Betrieb mit benannten Champions in jeder größeren Engineering-Gruppe
- Leitplanken für KI-gestütztes Programmieren implementiert und die Akzeptanz in der Entwicklerpopulation gemessen
- Teamstruktur, Rollenerwartungen und individuelle Entwicklungspläne für alle direkt unterstellten Mitarbeiter etabliert
#LI-JM
Kernaufgaben
Programmumsetzung
- Umsetzung der phasenweisen Application-Security-Roadmap, die vom Global Enterprise Security Architect festgelegt wurde, inklusive Verantwortung für Meilensteine, Abhängigkeiten und Statusberichte
- Betrieb des gestuften Application-Governance-Modells (T1/T2/T3), einschließlich der Aufnahme in die Risikostufen, Kontrollanforderungen pro Stufe und regelmäßiger Neueinstufung des Anwendungsportfolios
- Definition und Pflege sicherer SDLC-Standards, Richtlinien für sicheres Programmieren und Kontrollschleusen in jeder Phase der Entwicklungspipeline
- Nachverfolgung und Berichterstattung operativer AppSec-Kennzahlen: Scan-Abdeckung, Anzahl der Ergebnisse nach Schweregrad, durchschnittliche Zeit bis zur Behebung, Einhaltung von SLAs und Rückstand bei Ausnahmen
- Pflege des Registers für Application-Security-Ausnahmen und Risikoakzeptanz, mit Eskalation wesentlicher Risiken an den Global Enterprise Security Architect
Technische Verantwortung
- End-to-End-Verantwortung für die AppSec-Tool-Landschaft: SAST, SCA, DAST, Secrets Scanning sowie Container- und IaC-Scanning, einschließlich Bereitstellung, Optimierung, Regelverwaltung und Pipeline-Integration
- Leitung von Proof-of-Concept-Übungen für Tools, Definition von Bewertungskriterien, Durchführung technischer Vergleiche und Erstellung von Empfehlungsdokumenten für die Architekturprüfung
- Durchführung und Leitung interner Penetrationstests für Anwendungen, manueller Code-Reviews und Threat Modeling für Anwendungen der Stufe 1 und Anwendungen mit hohem Risiko
- Triage von Ergebnissen aus allen Quellen, Validierung der Ausnutzbarkeit, Entfernung von Fehlalarmen und Vorantreiben der Behebung mit den verantwortlichen Engineering-Teams
- Verwaltung der Scoping-Prozesse für Penetrationstests durch Dritte, Koordination der Anbieter, Validierung der Ergebnisse und Abschluss der Nachtests
- Pflege und Durchsetzung von Leitplanken für KI-gestützte Entwicklung, einschließlich genehmigter KI-Coding-Tools, agentischer Tools, Nutzung von MCP-Servern und Kontrollen zur Abhängigkeitsherkunft zur Adressierung von Lieferketten- und Typosquatting-Risiken
Teamführung und Personalmanagement
- Aufbau, Leitung und Entwicklung des Application-Security-Engineering-Teams, einschließlich Onshore-Mitarbeitern und LGCC Offshore-Engineering-Ressourcen
- Verantwortung für die Einstellung in diesem Bereich: Rollendefinition, Gestaltung des Interviewprozesses, Kandidatenbewertung und Onboarding
- Durchführung von Leistungsbeurteilungen, Festlegung individueller Ziele und Management von Leistungsfragen in Zusammenarbeit mit der Personalabteilung
- Definition von Karrierepfaden, technischen Kompetenzmatrizen und individuellen Entwicklungsplänen für Application Security Engineers
- Zuweisung von Aufgaben und Management der Teamkapazität im Einklang mit der Programm-Roadmap und der eingehenden Nachfrage
- Bereitstellung technischer Mentorenschaft zu sicherem Code-Review, Exploitation-Techniken, Tool-Bedienung und Qualität der Ergebnisdokumentation
- Input zur Personalplanung und zu Anfragen für Offshore-Ressourcen zur Überprüfung durch den Global Enterprise Security Architect
- Definition von Runbooks, Playbooks und wiederholbaren Verfahren, damit AppSec-Abläufe nicht von individuellem Wissen abhängen
- Management der täglichen Koordination und Übergaben über die Zeitzonen US, UK, MENA und APAC hinweg
Funktionsübergreifende Partnerschaft
- Zusammenarbeit mit Engineering-, DevOps-, Plattform- und Produktteams, um Kontrollen mit minimaler Beeinträchtigung der Release-Geschwindigkeit in die Bereitstellungsabläufe zu integrieren
- Fungieren als erste technische Eskalationsinstanz für Application-Security-Ergebnisse, Behebungsstreitigkeiten und Entscheidungen, die Releases blockieren, mit Eskalation ungelöster Risikoentscheidungen nach oben
- Unterstützung von GRC- und Audit-Teams mit Nachweisen, Kontrollbeschreibungen und Testartefakten für Verpflichtungen gemäß NYDFS 23 NYCRR 500, HITRUST, DSGVO und DORA
- Unterstützung der Incident Response bei softwarebezogenen Vorfällen, einschließlich Schwachstellen-Triage, Exploit-Analyse und Beitrag zur Ursachenanalyse
- Übersetzung technischer Ergebnisse in geschäftliche Auswirkungen für Anwendungseigentümer und nicht-technische Stakeholder
Security Champions und Kultur
- Betrieb des Security-Champions-Programms innerhalb der Engineering-Teams, einschließlich Auswahl der Champions, Erstellung von Inhalten zur Befähigung und regelmäßiger Arbeitssitzungen
- Durchführung von Schulungen zu sicherem Programmieren und gezielte Befähigung basierend auf beobachteten Fehlermustern im Code
- Vorantreiben der Shift-Left-Adaption, damit Sicherheitsmängel in der Entwicklung gefunden und behoben werden, anstatt an Release-Schleusen
Mindestanforderungen
- 10 Jahre Erfahrung in Application Security, Product Security oder Secure Software Engineering, davon 2 Jahre in einer leitenden oder Management-Funktion
- Nachgewiesene Erfahrung in der Mitarbeiterführung, einschließlich Einstellung, Leistungsmanagement und Karriereentwicklung von Sicherheits- oder Engineering-Personal
- Erfahrung in der Leitung verteilter Teams über mehrere Zeitzonen hinweg, einschließlich Offshore-Engineering-Ressourcen
- Nachgewiesene praktische Erfahrung im Betrieb von SAST-, SCA-, DAST- und Secrets-Scanning-Tools auf Unternehmensebene, einschließlich Pipeline-Integration und Regeloptimierung
- Nachgewiesene Fähigkeit zur Durchführung manueller sicherer Code-Reviews und Penetrationstests für Anwendungen, mit sicherem Umgang mit Burp Suite Pro oder Äquivalent
- Arbeitskenntnisse in mindestens zwei der folgenden Bereiche: .NET, Java, Python, JavaScript/TypeScript, Go
- Praktische Erfahrung bei der Absicherung von CI/CD-Pipelines und Cloud-nativen Workloads, mit Präferenz für Azure und Azure DevOps oder GitHub Actions
- Vertrautheit mit OWASP Top 10, OWASP ASVS, OWASP SAMM oder BSIMM und CWE
- Erfahrung in der Unterstützung regulatorischer oder Zertifizierungsaudits in einer regulierten Branche
- Fähigkeit, klare, strukturierte technische Ergebnisse und Standarddokumentationen sowohl für Engineering- als auch für Audit-Zielgruppen zu verfassen
Bevorzugte Qualifikationen
- Erfahrung in Finanzdienstleistungen, Versicherungen oder anderen regulierten Branchen
- Erfahrung mit Sicherheit in der Software-Lieferkette, SBOM-Generierung und Kontrollen zur Abhängigkeitsherkunft
- Erfahrung bei der Definition von Kontrollen für KI-gestützte Entwicklungstools und KI-generierte Code-Reviews
- Zertifizierungen wie OSWE, OSCP, GWAPT, CSSLP oder CISSP
Mehr Möglichkeiten mit einem Profil
Für mehr Stellen berücksichtigt werden, ohne den ganzen Prozess zu wiederholen? Erstellen Sie Ihr Profil, damit Unternehmen auf Nort Sie finden.
Profil erstellen