États-Unis
HEARTLAND BUSINESS SYSTEMS LLC
Lockton
Responsable mondial de la sécurité des applications
États-Unis
Overland Park, Kansas, United States
JavaScriptTypeScriptPythonJavaGo
Traduction automatique. Consultez l’original.
À propos du poste
Le responsable mondial de la sécurité des applications est chargé de l'exécution quotidienne du programme de sécurité des applications et DevSecOps dans toutes les unités commerciales et régions. Ce rôle est responsable des contrôles de sécurité intégrés au cycle de vie du développement logiciel, de la conception sécurisée et de la modélisation des menaces jusqu'à l'analyse statique et de composition, les tests dynamiques, la gestion des secrets et le durcissement de la production.
Il s'agit d'un rôle de leadership technique opérationnel avec des responsabilités de gestion d'équipe. Le responsable dirige l'équipe d'ingénierie de la sécurité des applications, définit les normes de travail suivies par les équipes d'ingénierie, gère le parc d'outils AppSec et effectue et dirige les tests au niveau des applications. La stratégie, le budget et le reporting exécutif relèvent de l'architecte mondial de la sécurité d'entreprise ; le responsable est responsable de la mise en œuvre de cette stratégie, de la qualité technique du programme, ainsi que de la performance et du développement de l'équipe.
Détails du poste
Rapporte à : Architecte mondial de la sécurité d'entreprise, Architecture et ingénierie de sécurité (SA&E)
Lieu : Kansas City, MO. Présence au bureau trois jours par semaine.
Déplacements : Déplacements périodiques vers les pôles technologiques régionaux.
Couverture : Soutien aux équipes d'ingénierie dans les fuseaux horaires des États-Unis, du Royaume-Uni, de la région MENA et de l'APAC.
Rapports directs : 2 ingénieurs en sécurité des applications, ainsi que la direction technique des ressources d'ingénierie offshore de LGCC.
Premiers 12 mois - Mesures de succès
- Outils AppSec déployés et intégrés sur 80%25 des dépôts de niveau 1 et de niveau 2 avec une couverture d'analyse convenue
- Classement des risques terminé pour l'ensemble du portefeuille d'applications et attentes de contrôle publiées par niveau
- SLA de remédiation définis, convenus avec la direction de l'ingénierie et rapportés mensuellement
- Programme des champions de la sécurité opérationnel avec des champions nommés dans chaque groupe d'ingénierie majeur
- Garde-fous de codage assisté par IA mis en œuvre et adoption mesurée au sein de la population des développeurs
- Structure de l'équipe, attentes des rôles et plans de développement individuel établis pour tous les rapports directs
#LI-JM
Responsabilités principales
Exécution du programme
- Exécuter la feuille de route progressive de la sécurité des applications définie par l'architecte mondial de la sécurité d'entreprise, en assurant la livraison des jalons, la gestion des dépendances et le reporting d'état
- Exploiter le modèle de gouvernance des applications par niveaux (T1/T2/T3), incluant l'admission par niveau de risque, les attentes en matière de contrôle par niveau et le reclassement périodique du portefeuille d'applications
- Définir et maintenir les normes SDLC sécurisées, les directives de codage sécurisé et les points de contrôle à chaque étape du pipeline de développement
- Suivre et rapporter les indicateurs opérationnels AppSec : couverture des analyses, volume des résultats par gravité, temps moyen de remédiation, respect des SLA et arriéré des exceptions
- Maintenir le registre des exceptions de sécurité des applications et d'acceptation des risques, en escaladant les risques matériels à l'architecte mondial de la sécurité d'entreprise
Responsabilité technique
- Gérer le parc d'outils AppSec de bout en bout : SAST, SCA, DAST, analyse des secrets, ainsi que l'analyse des conteneurs et IaC, incluant le déploiement, le réglage, la gestion des règles et l'intégration au pipeline
- Diriger les exercices de preuve de concept des outils, définir les critères d'évaluation, mener des tests comparatifs techniques et produire la documentation de recommandation pour la revue d'architecture
- Effectuer et diriger les tests d'intrusion internes des applications, la revue manuelle du code et la modélisation des menaces sur les applications de niveau 1 et à haut risque
- Trier les résultats provenant de toutes les sources, valider l'exploitabilité, supprimer les faux positifs et piloter la remédiation avec les équipes d'ingénierie responsables
- Gérer le périmètre des tests d'intrusion tiers, la coordination des fournisseurs, la validation des résultats et la clôture des re-tests
- Maintenir et appliquer des garde-fous pour le développement assisté par IA, incluant les outils de codage IA approuvés, les outils agents, l'utilisation des serveurs MCP et les contrôles de provenance des dépendances traitant les risques de chaîne d'approvisionnement et de typosquatting
Leadership d'équipe et gestion des personnes
- Construire, diriger et développer l'équipe d'ingénierie de la sécurité des applications, incluant le personnel sur site et les ressources d'ingénierie offshore de LGCC
- Gérer le recrutement pour la fonction : définition des rôles, conception du processus d'entretien, évaluation des candidats et intégration
- Mener les entretiens d'évaluation de performance, fixer les objectifs individuels et gérer les problèmes de performance en partenariat avec les RH
- Définir les parcours de carrière, les matrices de compétences techniques et les plans de développement individuel pour les ingénieurs en sécurité des applications
- Allouer le travail et gérer la capacité de l'équipe par rapport à la feuille de route du programme et à la demande entrante
- Fournir un mentorat technique sur la revue de code sécurisé, les techniques d'exploitation, l'utilisation des outils et la qualité de rédaction des résultats
- Fournir des contributions à la planification des effectifs et aux demandes de ressources offshore pour examen par l'architecte mondial de la sécurité d'entreprise
- Définir des manuels opérationnels, des procédures et des processus reproductibles afin que les opérations AppSec ne dépendent pas des connaissances individuelles
- Gérer la coordination quotidienne et les transferts entre les fuseaux horaires des États-Unis, du Royaume-Uni, de la région MENA et de l'APAC
Partenariat interfonctionnel
- Collaborer avec les équipes d'ingénierie, DevOps, plateforme et produit pour intégrer les contrôles dans les flux de travail de livraison avec un impact minimal sur la vélocité de publication
- Agir en tant que premier point d'escalade technique pour les résultats de sécurité des applications, les litiges de remédiation et les décisions bloquant les versions, en escaladant les décisions de risque non résolues
- Soutenir les équipes GRC et d'audit avec des preuves, des récits de contrôle et des artefacts de test pour les obligations NYDFS 23 NYCRR 500, HITRUST, RGPD et DORA
- Soutenir la réponse aux incidents liés aux logiciels, incluant le tri des vulnérabilités, l'analyse des exploits et la contribution à l'analyse des causes profondes
- Traduire les résultats techniques en impact commercial pour les propriétaires d'applications et les parties prenantes non techniques
Champions de la sécurité et culture
- Exploiter le programme des champions de la sécurité au sein des équipes d'ingénierie, incluant la sélection des champions, le contenu d'habilitation et les sessions de travail récurrentes
- Dispenser des formations sur le codage sécurisé et une habilitation ciblée basée sur les modèles de défauts observés dans la base de code
- Piloter l'adoption du « shift-left » afin que les défauts de sécurité soient trouvés et corrigés lors du développement plutôt qu'aux portes de publication
Prérequis
- 10 ans d'expérience en sécurité des applications, sécurité des produits ou ingénierie logicielle sécurisée, dont 2 ans dans une fonction de direction ou de gestion
- Expérience démontrée en gestion d'équipe, incluant le recrutement, la gestion de la performance et le développement de carrière du personnel de sécurité ou d'ingénierie
- Expérience dans la direction d'équipes distribuées sur plusieurs fuseaux horaires, incluant des ressources d'ingénierie offshore
- Expérience pratique démontrée dans l'exploitation d'outils SAST, SCA, DAST et d'analyse des secrets à l'échelle de l'entreprise, incluant l'intégration au pipeline et le réglage des règles
- Capacité prouvée à effectuer des revues manuelles de code sécurisé et des tests d'intrusion d'applications, avec une maîtrise de Burp Suite Pro ou équivalent
- Connaissance pratique d'au moins deux des éléments suivants : .NET, Java, Python, JavaScript/TypeScript, Go
- Expérience pratique dans la sécurisation des pipelines CI/CD et des charges de travail cloud-native, avec une préférence pour Azure et Azure DevOps ou GitHub Actions
- Maîtrise de l'OWASP Top 10, OWASP ASVS, OWASP SAMM ou BSIMM, et CWE
- Expérience dans le soutien aux audits réglementaires ou de certification dans un secteur réglementé
- Capacité à rédiger des résultats techniques clairs et structurés ainsi qu'une documentation de normes pour les publics d'ingénierie et d'audit
Qualifications souhaitées
- Expérience dans les services financiers, l'assurance ou un autre secteur réglementé
- Expérience avec la sécurité de la chaîne d'approvisionnement logicielle, la génération de SBOM et les contrôles de provenance des dépendances
- Expérience dans la définition de contrôles pour les outils de développement assistés par IA et la revue de code généré par IA
- Certifications telles que OSWE, OSCP, GWAPT, CSSLP ou CISSP
Plus d’opportunités avec un seul profil
Vous souhaitez accéder à plus de postes sans répéter tout le processus ? Créez votre profil pour être trouvé par les entreprises utilisant Nort.
Créer mon profil