États-Unis
HEARTLAND BUSINESS SYSTEMS LLC
MasterApp Labs
Architecte senior en sécurité des applications
États-Unis
Richmond, Virginia, United States
JavaScriptTypeScriptPythonJavaSQLKubernetes
Traduction automatique. Consultez l’original.
Avantages
- Abondement 401(k)
- Assurance dentaire
- Assurance santé
- Assurance vision
Intitulé du poste : Architecte senior en sécurité des applications
Compétences requises/souhaitées
Lieu : Richmond, VA, (Hybride) - Sur site 4 jours par semaine pendant une période d'essai initiale de 90 jours ; possibilité de réduire la présence sur site après une période d'essai réussie
Type de contrat : Contrat
Mode d'entretien : Entretien par webcam et en personne
Compétence | Requise/Souhaitée | Quantité | Années d'expérience réelles
- Ingénierie logicielle, sécurité des applications, ingénierie de sécurité ou rôles techniques connexes | Requise | 10 |
- Expérience dans la conception et la mise en œuvre d'architecture de sécurité pour les systèmes informatiques | Requise | 6 |
- Principes de développement logiciel sécurisé et risques courants, y compris le Top 10 de l'OWASP, l'autorisation non sécurisée, l'injection, la désérialisation et l'abus des API | Requise | 6 |
- Concevoir et mettre en œuvre des architectures de sécurité de bout en bout pour les données au repos, en transit et en cours d'utilisation pour la pile MS complète (Azure, O365, Power Platform, D365) | Requise | 6 |
- Expérience démontrée en modélisation des menaces et en revues d'architecture de sécurité | Requise | 6 |
- Expérience dans la sécurisation des APIs, des applications web, des systèmes distribués, des plateformes cloud, des pipelines CI/CD et des charges de travail conteneurisées | Requise | 6 |
- Expérience avec l'identité, OAuth 2.0, OpenID Connect, SAML, JWT, la conception d'autorisation, PKI/TLS, le chiffrement et les pratiques de gestion des secrets | Requise | 6 |
- Solides compétences en communication écrite, y compris la capacité à créer des diagrammes d'architecture, des normes, des évaluations des risques et des plans de remédiation exploitables | Requise | 10 |
- Expérience dans un environnement réglementé tel que les services financiers, la santé, le gouvernement ou les paiements | Hautement souhaitée | 6 |
- Expérience dans la conduite ou la coordination de tests d'intrusion et la traduction des résultats en améliorations architecturales durables | Hautement souhaitée | 6
- Expérience dans la mise en œuvre de programmes DevSecOps et d'automatisation de la sécurité à grande échelle | Hautement souhaitée | 4 |
- Familiarité avec l'ingénierie de la confidentialité, la classification des données et les cadres de conformité | Hautement souhaitée | 4 |
- Expérience avec les architectures de sécurité dans la plateforme ArcGIS d'Esri | Hautement souhaitée | 2 |
Options de télétravail flexibles disponibles.
Responsabilités principales
- Définir les principes, normes, modèles, implémentations de référence et garde-fous de l'architecture de sécurité des applications pour les systèmes web, mobiles, API, microservices et cloud-native.
- Effectuer des revues d'architecture et de conception, identifier les périmètres de confiance, les vecteurs d'attaque, les flux de données, les failles de sécurité et les contrôles compensatoires.
- Diriger ou faciliter la modélisation des menaces pour les nouvelles applications, les fonctionnalités majeures, les intégrations et les changements à haut risque.
- Établir des exigences de sécurité reproductibles pour l'authentification, l'autorisation, la gestion de session, le chiffrement, la gestion des secrets, la journalisation, la confidentialité, la protection des API et la protection des données.
- Collaborer avec les ingénieurs logiciels pour intégrer la sécurité tout au long du cycle de vie du développement (SDLC), y compris la revue de code, les pipelines CI/CD, l'infrastructure en tant que code, les tests, l'approbation des mises en production et la surveillance en production.
- Évaluer et guider l'utilisation d'outils de sécurité tels que SAST, DAST, l'analyse de composition logicielle, l'analyse de conteneurs/images, les tests de sécurité des API, l'analyse de secrets et la protection à l'exécution.
- Définir une approche de gestion des vulnérabilités pour les applications et les dépendances, incluant les critères de criticité, les SLA de remédiation, les processus d'exception et la vérification des correctifs.
- Évaluer les bibliothèques tierces, les dépendances open-source, les intégrations SaaS et les composants fournis par des vendeurs pour les risques de sécurité.
- Concevoir des modèles d'identité et de contrôle d'accès, incluant le moindre privilège, l'intégration MFA/SSO, l'authentification de service à service, RBAC/ABAC et les contrôles d'accès privilégiés.
- Travailler avec les équipes cloud et plateforme pour sécuriser les environnements d'hébergement d'applications, y compris Kubernetes, le serverless, les conteneurs, CI/CD, l'IAM cloud, la segmentation réseau et le stockage des secrets.
- Conseiller les équipes de réponse aux incidents sur les menaces au niveau des applications et contribuer à l'analyse des causes profondes et aux améliorations de sécurité après les incidents.
- Maintenir la documentation d'architecture, les modèles de décision de sécurité, les registres des risques et la documentation des exceptions.
Qualifications requises
- Licence en informatique, cybersécurité, ingénierie ou domaine connexe, ou expérience pratique équivalente.
- 10+ années en ingénierie logicielle, sécurité des applications, ingénierie de sécurité ou rôles techniques connexes, dont 2+ années dans la conception d'architecture de sécurité pour des systèmes.
- Solide compréhension des principes de développement logiciel sécurisé et des risques courants liés aux applications, y compris le Top 10 de l'OWASP, l'autorisation non sécurisée, l'injection, la désérialisation et l'abus des API.
- Concevoir et mettre en œuvre des architectures de sécurité de bout en bout pour les données au repos, en transit et en cours d'utilisation sur les plateformes Azure, SQL Server, Dynamics 365, Power Platform et ArcGIS, en utilisant la classification automatisée (par exemple, Microsoft Purview), un chiffrement robuste, des règles DLP et des évaluations des risques liés à la vie privée (DPIA) pour protéger les actifs sensibles de transport et d'infrastructure de l'État.
- Appliquer des contrôles d'accès aux données granulaires (y compris RBAC, sécurité au niveau des lignes, chiffrement au niveau des colonnes et masquage dynamique) et établir des pipelines centralisés de journalisation d'audit de base de données et de surveillance d'activité pour assurer une conformité stricte avec les normes de sécurité VITA SEC 530.
- Expérience démontrée en modélisation des menaces et en revues d'architecture de sécurité.
- Expérience dans la sécurisation des APIs, des applications web, des systèmes distribués, des plateformes cloud, des pipelines CI/CD et des charges de travail conteneurisées.
- Connaissance pratique du codage sécurisé dans un ou plusieurs écosystèmes courants, tels que les plateformes Java, .NET, JavaScript/TypeScript, Python.
- Expérience avec l'identité, OAuth 2.0, OpenID Connect, SAML, JWT, la conception d'autorisation, PKI/TLS, le chiffrement et les pratiques de gestion des secrets.
- Capacité à expliquer clairement les risques techniques et les compromis aux ingénieurs, chefs de produit, cadres et parties prenantes non techniques.
- Solides compétences en communication écrite, y compris la capacité à créer des diagrammes d'architecture, des normes, des évaluations des risques et des plans de remédiation exploitables.
Qualifications souhaitées
- Expérience dans un environnement réglementé tel que les services financiers, la santé, le gouvernement ou les paiements.
- Expérience dans la mise en œuvre de programmes DevSecOps et d'automatisation de la sécurité à grande échelle.
- Familiarité avec l'ingénierie de la confidentialité, la classification des données et les cadres de conformité pertinents pour l'organisation.
- Certifications telles que CISSP, CSSLP, CCSP, GIAC, certifications de sécurité cloud ou références pertinentes de fournisseurs.
- Expérience dans la conduite ou la coordination de tests d'intrusion et la traduction des résultats en améliorations architecturales durables.
Plus d’opportunités avec un seul profil
Vous souhaitez accéder à plus de postes sans répéter tout le processus ? Créez votre profil pour être trouvé par les entreprises utilisant Nort.
Créer mon profil