Vereinigte Staaten
Roku
The Nuclear Company
Staff Application Security Engineer
Vereinigte Staaten
Washington, District of Columbia, United States
TypeScriptPythonJavaAWSC++C#Go
Automatische Übersetzung. Prüfe das Original.
Über die Stelle
The Nuclear Company ist das am schnellsten wachsende KI-gestützte Technologie-Startup im Bereich Kernenergie und leistet Pionierarbeit bei einem flottenweiten Ansatz für den Bau der nächsten Generation von Kernreaktoren. Mit unserem „Design-once, build-many“-Modell beschleunigen wir den Einsatz sicherer, zuverlässiger und erschwinglicher Kernenergie.
Wir arbeiten mit einer KI-First-Mentalität. Von jedem Mitarbeiter wird erwartet, dass er KI, Technologie und das Nuclear Operating System (NOS) als integralen Bestandteil seiner Rolle nutzt, um die Qualität, Geschwindigkeit und Wirkung seiner Arbeit zu verbessern. Wir erwarten von jedem Teammitglied, dass es kontinuierlich Möglichkeiten zur Automatisierung von Arbeitsabläufen identifiziert, die Entscheidungsfindung verbessert, Prozesse optimiert und zur stetigen Weiterentwicklung des NOS als strategische Betriebsfähigkeit beiträgt, die es The Nuclear Company ermöglicht, mit Exzellenz zu skalieren.
Wir stellen Menschen ein, die von einem Ziel angetrieben werden, in einem Umfeld voller Unklarheiten aufblühen und davon begeistert sind, Dinge zu bauen, die noch nie zuvor gebaut wurden. Unser Team verbindet intellektuelle Neugier mit hoher Eigenverantwortung, begrüßt offenes Feedback sowie kontinuierliches Lernen und stellt an sich selbst und andere außergewöhnliche Ansprüche. Unsere Werte – Transparenz, Verantwortung, Unity, Einfallsreichtum und Beharrlichkeit – leiten uns täglich bei der Einstellung, Zusammenarbeit und Entscheidungsfindung. Sie sind nicht nur Worte an der Wand, sondern der Standard, nach dem wir handeln. VERTRAUEN ist das Fundament unserer Sicherheitskultur, das intellektuelle Ehrlichkeit, Verantwortlichkeit und offene Kommunikation fördert, während unsere Werte jedes Teammitglied dazu herausfordern, mit Dringlichkeit, Bescheidenheit, Resilienz und einem unerschütterlichen Engagement für unsere Mission zu handeln.
Über die Rolle
The Nuclear Company sucht einen Application Security Engineer, der dabei hilft, die Software, Datensysteme und Entwickler-Workflows abzusichern, die unser Nuclear Operating System, unsere internen Plattformen und unsere geschäftskritischen Anwendungen antreiben.
Dies ist eine Rolle mit hoher Eigenverantwortung für einen Entwickler, der sich gleichermaßen wohl dabei fühlt, Anwendungsarchitekturen zu überprüfen, eine Bedrohungsmodellierung für ein API durchzuführen, Sicherheitskontrollen für GitHub zu verbessern und direkt mit Ingenieuren zusammenzuarbeiten, um sichere Software schnell bereitzustellen.
Sie arbeiten bereichsübergreifend mit Produktentwicklung, Plattform-Engineering, Data Science, Infrastruktur und Betrieb zusammen, um Sicherheit in die Art und Weise zu integrieren, wie wir Software entwerfen, bauen, testen und bereitstellen. Sie helfen dabei, Standards für die sichere Entwicklung zu definieren, wirkungsvolle Produktdesigns zu überprüfen, CI/CD-Workflows zu härten und Teams bei der Schwachstellenbehebung auf praktische, risikobasierte Weise anzuleiten.
Diese Rolle berichtet an den Senior Manager für Application and Product Security.
Verantwortlichkeiten
Anwendungs- und Produktsicherheit
- Durchführung von Sicherheitsüberprüfungen und Bedrohungsmodellierungen für NOS-Module, interne Tools, APIs, Daten-Workflows, KI-gestützte Funktionen und Cloud-verbundene Anwendungen.
- Zusammenarbeit mit Engineering-Teams zur Identifizierung und Behebung von Risiken in den Bereichen Authentifizierung, Autorisierung, Mandantentrennung, Eingabevalidierung, Geheimnisverwaltung, Verschlüsselung, Protokollierung und Datenzugriff.
- Überprüfung von Anwendungsdesigns und Codeänderungen auf Sicherheitslücken, bevor diese zu einem Produktionsrisiko werden.
- Definition wiederverwendbarer Sicherheitsmuster für Webanwendungen, APIs, mobile Workflows, interne Plattformen und datenintensive Systeme.
- Unterstützung bei der Etablierung von „Secure-by-Default“-Ansätzen für Anwendungen, die regulierte, hochkritische Infrastrukturen unterstützen.
Sicherer SDLC & Entwickler-Enablement
- Aufbau und Verbesserung von DevSecOps-Praktiken über den gesamten GitHub-basierten Softwareentwicklungslebenszyklus hinweg, einschließlich Code-Scanning, Abhängigkeitsprüfung, Secret-Scanning, Branch-Schutz, CI/CD-Härtung und sicheren Entwickler-Workflows.
- Zusammenarbeit mit Engineering-Teams zur Schaffung von „Paved Roads“: sichere Vorlagen, Checklisten, Automatisierung, Dokumentation und leichtgewichtige Überprüfungsprozesse, die Teams helfen, schneller und mit mehr Vertrauen zu arbeiten.
- Triage und Priorisierung von Anwendungssicherheitsergebnissen aus SAST, SCA, Secret-Scanning, Penetrationstests, Code-Reviews und internen Bewertungen.
- Entwicklung pragmatischer Workflows für das Schwachstellenmanagement, Anleitungen zur Behebung und Metriken für das Engineering.
- Unterstützung der Ausbildung in sicherem Programmieren durch Design-Reviews, Sprechstunden, Dokumentation und praktische Zusammenarbeit mit Entwicklern.
Plattform-, Cloud- und Datensicherheit
- Zusammenarbeit mit Cloud- und Plattform-Ingenieuren zur Absicherung von AWS-Workloads, Infrastructure-as-Code, Service-Integrationen, Datenpipelines und Bereitstellungs-Workflows.
- Überprüfung von Integrationen mit Palantir Foundry, Partner-APIs, internen Datenplattformen und KI-gestützten Engineering-Workflows.
- Unterstützung bei der Absicherung sensibler Datenflüsse über Anwendungs-, Plattform- und Betriebsumgebungen hinweg.
- Zusammenarbeit mit Infrastruktur- und Entwicklerteams, um sicherzustellen, dass Anwendungsereignisse, Audit-Logs und Sicherheitssignale so erfasst werden, dass sie Untersuchung und Reaktion unterstützen.
- Navigation durch die Sicherheitserwartungen einer regulierten Kernenergieumgebung, einschließlich relevanter Cybersicherheits-Frameworks und Überlegungen zur kritischen Infrastruktur.
Funktionsübergreifende Partnerschaft
- Dienen als vertrauenswürdiger Sicherheitspartner für Softwareentwickler, Produktmanager, Dateningenieure, Infrastrukturteams und geschäftliche Stakeholder.
- Klare und praktische Kommunikation von Risiken unter Abwägung von Sicherheit, Bereitstellungsgeschwindigkeit, Produktnutzbarkeit und betrieblichen Auswirkungen.
- Beitrag zur Roadmap für Anwendungs- und Produktsicherheit, während das Unternehmen von Systemen im Frühstadium zu flottenweiten Operationen skaliert.
- Unterstützung beim Aufbau einer Kultur der Eigenverantwortung, Geschwindigkeit und technischen Strenge im gesamten Engineering- und Cybersicherheitsbereich.
Erfahrung
- 4+ Jahre Erfahrung in der Anwendungssicherheit, Produktsicherheit, Softwaresicherheit oder Softwareentwicklung mit starkem Fokus auf Sicherheit.
- Praktische Erfahrung in der Überprüfung, dem Aufbau oder der Absicherung moderner Softwaresysteme, einschließlich Webanwendungen, APIs, verteilten Systemen oder Cloud-nativen Diensten.
- Fundiertes Verständnis gängiger Anwendungssicherheitsrisiken, einschließlich Authentifizierung, Autorisierung, Zugriffskontrolle, Injection, unsicherer Deserialisierung, SSRF, Offenlegung von Geheimnissen, Abhängigkeits- und Lieferkettenrisiken sowie unsicherem API-Design.
- Erfahrung mit sicheren SDLC-Tools und Workflows wie GitHub Advanced Security, CodeQL, Dependabot, SAST, SCA, Secret-Scanning, CI/CD-Sicherheit oder gleichwertigen Plattformen.
- Fähigkeit, Code in mindestens einer modernen Programmiersprache wie Python, TypeScript, Go, Java, C# oder C++ zu lesen und zu verstehen.
- Vertrautheit mit AWS-Sicherheitskonzepten, einschließlich IAM, Protokollierung, Verschlüsselung, Netzwerk, Geheimnisverwaltung und Infrastructure-as-Code.
- Starke Kommunikationsfähigkeiten und die Fähigkeit, direkt mit Ingenieuren zusammenzuarbeiten, um Sicherheitsprobleme zu lösen, ohne unnötige Reibung zu erzeugen.
- Ein starkes Verständnis für offensive Sicherheit, um Risiken aus der Perspektive eines Angreifers vorherzusehen, anstatt nur Compliance-Checklisten abzuarbeiten.
Bevorzugte Qualifikationen
- Erfahrung in der Absicherung von Software in regulierten, industriellen, Energie-, nationalen Sicherheits-, Luft- und Raumfahrt-, medizinischen oder anderen geschäftskritischen Umgebungen.
- Vertrautheit mit KI-gestützten Entwicklungstools, LLM-fähigen Anwendungen, Prompt-Injection-Risiken, Modell-/Tool-Integrationen oder Bedenken hinsichtlich der KI-Software-Lieferkette.
- Erfahrung mit Schwachstellenmanagement, Penetrationstests, DAST-Tools oder Incident Response.
- Vertrautheit mit Frameworks oder Standards wie OWASP ASVS, OWASP Top 10, OWASP API Security Top 10, NIST CSF, NIST 800-53, SOC 2, IEC 62443 oder NERC CIP.
- Sicherheitszertifizierungen wie AWS Certified Security – Specialty oder OSWE.
- Echtes Interesse an Kernenergie, kritischer Infrastruktur, Hard-Tech und der Anwendung von Softwaresicherheit auf physische Systeme.
Leistungen
- Wettbewerbsfähige Vergütungspakete
- 401k mit Arbeitgeberzuschuss
- Kranken-, Zahn- und Augenversicherungspläne
- Großzügige Urlaubsregelung sowie Feiertage
Geschätzte Gehaltsspanne
Die geschätzte Gehaltsspanne für diese Rolle liegt bei $150,000 - $173,000 jährlich abzüglich anfallender Steuern und Abzüge, zahlbar auf zweiwöchentlicher Basis.
Das tatsächlich angebotene Gehalt kann je nach relevanten Faktoren variieren, die nach Ermessen des Unternehmens festgelegt werden. Dazu können Erfahrung, Qualifikationen, Betriebszugehörigkeit, Fähigkeiten, Verfügbarkeit qualifizierter Kandidaten, geografischer Standort, erworbene Zertifizierungen und andere Kriterien gehören, die für die jeweilige Rolle als relevant erachtet werden.
EEO-Erklärung
The Nuclear Company ist ein Arbeitgeber, der Chancengleichheit fördert und sich der Schaffung eines integrativen Arbeitsumfelds verpflichtet fühlt. Wir bieten allen qualifizierten Bewerbern und Mitarbeitern gleiche Beschäftigungsmöglichkeiten ohne Rücksicht auf Rasse, Hautfarbe, Religion, Geschlecht, sexuelle Orientierung, Geschlechtsidentität, nationale Herkunft, Alter, Behinderung, Veteranenstatus oder ein anderes geschütztes Merkmal. Wir untersagen Diskriminierung in allen Aspekten der Beschäftigung, einschließlich Einstellung, Beförderung, Herabstufung, Versetzung, Vergütung und Kündigung.
Exportkontrolle
Bestimmte Positionen bei The Nuclear Company können den Zugang zu Informationen und Technologien beinhalten, die Exportkontrollen nach US-Recht unterliegen. Die Einhaltung dieser Exportkontrollen kann dazu führen, dass The Nuclear Company die Berücksichtigung bestimmter Bewerber einschränkt.
Warnung vor Rekrutierungsbetrug
Ihre Sicherheit hat für uns Priorität. Wir möchten sicherstellen, dass Ihre Jobsuche sicher bleibt. Bitte beachten Sie, dass das Team von The Nuclear Company ausschließlich über offizielle E-Mail-Adressen von @thenuclearcompany.com kommuniziert. Wir werden zu keinem Zeitpunkt unseres Rekrutierungsprozesses Zahlungen oder sensible Finanzinformationen anfordern. Zu Ihrer Sicherheit überprüfen Sie bitte alle offenen Stellen und reichen Sie Ihre Bewerbungen direkt über unsere offizielle Karriereseite ein thenuclearcompany.com/careers.
Mehr Möglichkeiten mit einem Profil
Für mehr Stellen berücksichtigt werden, ohne den ganzen Prozess zu wiederholen? Erstellen Sie Ihr Profil, damit Unternehmen auf Nort Sie finden.
Profil erstellen