Mexique
Toshiba Global Commerce Solutions - External
Alvys
Ingénieur DevSecOps
Mexique
Mexico
TypeScriptPythonReactAWSGCPDockerKubernetesC#Terraform
Traduction automatique. Consultez l’original.
À propos du poste
Rejoignez Alvys, une entreprise en phase de démarrage qui transforme l'industrie américaine du fret, un marché de 800 milliards de dollars. En tant qu'ingénieur DevSecOps, vous contribuerez à protéger notre plateforme et les données clients qu'elle contient. Vous comblerez les failles de sécurité dans le cloud, intégrerez des contrôles de sécurité dans notre processus de livraison de logiciels, piloterez notre programme de tests d'intrusion et mettrez en place l'infrastructure nécessaire à nos outils internes de sécurité, d'informatique et d'IA. Ce rôle combine un travail pratique sur l'infrastructure et une coordination avec les équipes DevOps, les équipes d'ingénierie, le service informatique et sécurité, ainsi que des prestataires de sécurité externes.
Aperçu du secteur
Les entreprises de fret gèrent leurs activités sur Alvys : chargements, chauffeurs, transporteurs, paiements et dossiers financiers. À mesure que le secteur adopte des logiciels modernes, les clients s'attendent à ce que ces données soient protégées comme n'importe quel autre système critique pour l'entreprise. La sécurité est un élément clé pour gagner et conserver leur confiance.
À propos de Alvys
Alvys développe une plateforme SaaS multi-tenant qui alimente les opérations de transport modernes. Nous combinons une connaissance approfondie du secteur avec une exécution technique solide pour apporter clarté, automatisation et fiabilité à l'une des industries les plus essentielles au monde. La sécurité est une responsabilité partagée chez Alvys, et ce rôle aide chaque équipe à atteindre ce niveau d'exigence.
Nos principes
Principes d'ingénierie
- Construire pour un impact réel. Nos utilisateurs comptent sur Alvys pour résoudre de vrais problèmes, pas des problèmes abstraits. Chaque correctif de sécurité doit réduire un risque réel pour notre plateforme et pour les personnes qui transportent du fret au quotidien, et ne pas se limiter à effacer un résultat de scanner.
- Responsabilisation et autonomie extrêmes. La responsabilité va au-delà de la construction. Elle signifie être comptable de la qualité, de la fiabilité et de l'impact client. Si c'est en production, c'est à vous : bugs, temps de disponibilité et résultats.
- La dette technique est stratégique, pas accidentelle. La dette technique est un choix stratégique, pas un oubli. Nous l'acceptons délibérément lorsqu'elle permet de gagner en vitesse, en apprentissage ou en avantage concurrentiel. Notre architecture reste propre, maintenable et évolutive à mesure que nous grandissons.
- La simplicité est évolutive ; la complexité coûte cher. La logistique est intrinsèquement complexe, mais notre technologie ne devrait pas l'être. Nous privilégions la simplicité dans notre architecture, en tirant parti de la modularité et de frontières de services bien définies pour réduire la charge cognitive.
- Transparence radicale. Nous démocratisons les données et les rendons accessibles à toutes les fonctions pour favoriser l'alignement et la prise de décision. La transparence signifie aussi feedback. Nous systématisons les boucles de rétroaction constructives pour assurer la croissance.
Culture d'ingénierie
- Avancer vite, apprendre vite. La vitesse est notre avantage, mais nous avançons vite intentionnellement. Nous privilégions l'action, supposons une intention positive et traitons chaque erreur comme une opportunité d'apprentissage.
- S'approprier le résultat. Chaque ingénieur est responsable des résultats, pas des tickets. Nous prenons la responsabilité de bout en bout, en identifiant les problèmes, en fournissant des solutions et en nous assurant qu'elles durent.
- Partenaire, pas gardien. La sécurité fonctionne mieux lorsqu'elle est construite avec les équipes qui possèdent les systèmes. Nous partageons le contexte avec les équipes DevOps et d'ingénierie, expliquons le risque derrière chaque demande et faisons en sorte que le chemin sécurisé soit le plus simple.
- Pragmatisme plutôt que purisme. La sécurité parfaite n'existe pas, mais la réduction des risques, oui. Nous choisissons des correctifs qui sont évolutifs, maintenables et qui traitent des menaces réelles, pas théoriques.
- L'humain avant l'héroïsme. Nous ne récompensons pas l'épuisement professionnel ou le comportement « toujours connecté ». La durabilité est une fonctionnalité, pas un luxe. Si quelqu'un a besoin de ralentir, de se déconnecter ou de s'occuper de sa vie en dehors du travail, c'est tout à fait normal.
Stack technique
- Cloud : Azure (AKS, App Service, Azure Functions, Storage, Key Vault, Cosmos DB, VNets, Microsoft Entra ID)
- Infrastructure en tant que code : Terraform
- CI/CD : GitHub Actions et pipelines DevOps Azure
- Conteneurs : Docker, Kubernetes, Azure Container Registry
- Observabilité : Azure Monitor, App Insights, Log Analytics, OpenTelemetry, Grafana
- Sécurité : Aikido, Cloudflare
- Outils d'IA : Cursor, Claude, Claude Platform (agents gérés), Grokbot
- Code applicatif : .NET/C#, TypeScript, Angular, React
Responsabilités
Architecture de sécurité cloud
- Concevoir et mettre en œuvre des changements d'infrastructure qui renforcent notre posture de sécurité cloud, y compris l'isolation réseau et l'accès basé sur l'identité.
- Effectuer ces changements via l'infrastructure en tant que code, planifier des déploiements qui évitent les temps d'arrêt pour les clients et travailler avec les propriétaires de services pour mettre à jour les applications qui en dépendent.
- Intégrer des paramètres de sécurité par défaut dans nos modules d'infrastructure afin que les nouvelles ressources soient conformes dès le départ.
Gestion des vulnérabilités et sécurité des pipelines
- Contribuer à la gestion de notre programme de vulnérabilités, en pilotant la remédiation dans le respect des SLA définis.
- Étendre notre analyse de sécurité existante avec des tests de sécurité assistés par IA, tels que la revue de code de sécurité automatisée et les tests d'intrusion pilotés par IA.
- Ajuster et améliorer l'automatisation que nous utilisons déjà pour traiter les résultats de sécurité.
Tests d'intrusion
- Gérer nos tests d'intrusion par des tiers du début à la fin : définition du périmètre et des cibles, environnements et comptes de test, coordination des fournisseurs, réception des résultats et re-tests.
- Contribuer à faire mûrir notre outil interne de test d'intrusion assisté par IA pour en faire une partie fiable du programme de sécurité, incluant le déploiement et les exécutions planifiées.
Infrastructure pour la sécurité, l'informatique et les outils d'IA
- Déployer et exploiter des applications internes dans Azure, avec une gestion correcte de l'identité, des secrets, du réseau et des sauvegardes dès le premier jour.
- Construire des pipelines de télémétrie (OpenTelemetry vers Azure Monitor) pour nos outils d'IA et internes, avec des tableaux de bord et des alertes qui font remonter les activités anormales.
Travailler avec les autres
- Collaborer avec les équipes DevOps, les équipes d'ingénierie et le service informatique et sécurité pour planifier et prioriser le travail.
- Rédiger des runbooks et une documentation clairs, et produire des preuves pour notre programme SOC 2.
Qualifications minimales
- Maîtrise de l'anglais, à l'oral et à l'écrit.
- 3 ans et plus d'expérience professionnelle en DevOps, infrastructure cloud, ingénierie de plateforme ou ingénierie de sécurité.
- Expérience pratique avec au moins un fournisseur cloud majeur (Azure, AWS ou GCP), incluant le réseau, la gestion des identités et des accès, et la gestion des secrets.
- Expérience en production avec l'infrastructure en tant que code, de préférence Terraform.
- Expérience dans la construction et la maintenance de pipelines CI/CD.
- Connaissance pratique des conteneurs et de Kubernetes.
- Compétences en scripting en Python, PowerShell ou Bash.
- Compréhension des risques de sécurité courants dans les applications cloud et web, et savoir comment les corriger.
- Capacité à expliquer clairement les risques techniques aux ingénieurs et aux non-ingénieurs.
Qualifications souhaitées
- Expérience spécifique avec Azure, incluant les points de terminaison privés, l'intégration VNet et les identités gérées Entra ID.
- Expérience avec les tests de sécurité des applications (SCA, SAST, DAST) et intérêt pour l'application de l'IA aux tests de sécurité.
- Expérience dans la coordination de tests d'intrusion ou le travail avec des cabinets de sécurité externes.
- Expérience avec OpenTelemetry, Azure Monitor ou des outils d'observabilité similaires, incluant l'écriture de requêtes d'alerte (KQL est un plus).
- Familiarité avec SOC 2, ISO 27001 ou les benchmarks CIS.
- Intérêt pour les outils d'IA et la manière de les déployer et de les surveiller en toute sécurité.
- Les certifications de sécurité telles que AZ-500, Security+ ou similaires sont un plus.
- Une expérience dans la logistique ou le transport est un bonus.
Plus d’opportunités avec un seul profil
Vous souhaitez accéder à plus de postes sans répéter tout le processus ? Créez votre profil pour être trouvé par les entreprises utilisant Nort.
Créer mon profil