Estados Unidos
HEARTLAND BUSINESS SYSTEMS LLC
AvePoint
Arquiteto Principal de Segurança, Resiliência de Identidade
Estados Unidos
New York, New York, United States
Tradução automática. Consulte o original.
Sobre a AvePoint
Além da segurança. A AvePoint é líder global em segurança, governança e resiliência de dados, indo além das soluções tradicionais para garantir uma base de dados robusta e permitir que organizações em todo o mundo colaborem com confiança. Mais de 25,000 clientes em todo o mundo confiam na plataforma Confidence Platform da AvePoint para preparar, proteger e otimizar seus dados críticos em ambientes Microsoft, Google, Salesforce e outros ambientes de colaboração. O programa global de parceiros de canal da AvePoint inclui aproximadamente 5,000 provedores de serviços gerenciados, revendedores de valor agregado e integradores de sistemas, com nossas soluções disponíveis em mais de 100 marketplaces de nuvem. Para saber mais, visite avepoint.com.
Sobre a posição
Na AvePoint, estamos comprometidos em investir em nossas pessoas. Agilidade, paixão e trabalho em equipe nos preparam para realizar nosso melhor trabalho e promover uma cultura onde você é capacitado para construir sua carreira, causar impacto e ser dono do (n)osso futuro. Liberte o seu potencial!
O Arquiteto Principal de Segurança de Identidade atuará como a autoridade técnica sênior para a arquitetura de segurança das iniciativas de resiliência de identidade da AvePoint. Esta função concentra-se em como provedores de identidade corporativa, planos de controle de identidade, sistemas de acesso privilegiado, identidades de aplicativos e ambientes de identidade híbrida são protegidos, confiados, contidos, recuperados e validados antes, durante e após um desastre ou comprometimento de identidade. Active Directory e Microsoft Entra ID são duas das plataformas de identidade mais importantes para esta função, mas o escopo é mais amplo do que qualquer provedor único.
Esta função é intencionalmente separada de uma função de arquiteto de backup e recuperação específica de plataforma. Arquitetos de backup e recuperação podem ser responsáveis pela arquitetura central de backup, restauração, reversão, topologia e fonte de autoridade para plataformas específicas. Este arquiteto de segurança de identidade é responsável pelo modelo de ameaças, segurança do plano de controle, modelo de confiança de recuperação, pontos de integração de resposta a incidentes, diretrizes de restauração segura e requisitos de validação pós-recuperação que garantem que as plataformas de resiliência de identidade possam ser confiáveis em condições adversas.
O candidato ideal possui profunda experiência prática na proteção de ambientes complexos de identidade corporativa, incluindo Active Directory, Microsoft Entra ID, identidade híbrida, acesso privilegiado, identidades de aplicativos e cargas de trabalho, federação, integrações de governança de identidade e resposta a incidentes de identidade. Ele consegue dialogar de forma credível com CISOs, arquitetos de identidade, respondedores a incidentes, engenheiros de plataforma e líderes de produto, enquanto traduz essa experiência em arquitetura de produto, requisitos de segurança e orientações de recuperação voltadas ao cliente.
Esta não é uma função genérica de governança de IAM e não é uma função pura de analista de SOC. A pessoa certa entende a identidade como infraestrutura de Nível 0, sabe como os atacantes persistem nos sistemas de identidade e pode projetar fluxos de trabalho de produto que ajudem os clientes a se preparar, recuperar e validar um estado confiável e íntegro após um incidente grave.
As responsabilidades específicas incluem, mas não estão limitadas a:
- Ser responsável pela arquitetura de segurança das plataformas de resiliência de identidade da AvePoint, incluindo modelagem de ameaças, critérios de confiança de recuperação, salvaguardas de acesso privilegiado, diretrizes de restauração segura e fluxos de trabalho de validação pós-recuperação em grandes provedores de identidade corporativa.
- Colaborar com arquitetos de backup e recuperação de plataforma para garantir que os fluxos de trabalho de restauração de identidade, recuperação de relacionamento, recuperação de políticas e fonte de autoridade operem com segurança sob condições de violação, não apenas durante a recuperação administrativa normal.
- Definir o modelo de segurança de Nível 0 do produto, incluindo privilégio mínimo, elevação just-in-time, isolamento de credenciais, uso de gMSA, expectativas de estação de trabalho de acesso privilegiado, manuseio de break-glass, contas de serviço seguras, trilhas de auditoria imutáveis e separação de permissões de monitoramento versus restauração.
- Projetar requisitos de segurança para proteger o plano de controle de backup: funções de administrador, permissões de aplicativos de serviço, permissões consentidas, controles de armazenamento BYOS, restrições de rede, gerenciamento de chaves, aprovações de exclusão, resistência a adulteração de retenção e validação de integridade de dados de recuperação.
- Definir como o produto deve apoiar a prontidão de recuperação pré-violação, incluindo documentação de estado íntegro conhecido, inventário de objetos de identidade críticos, orientação de validação de break-glass, validação de permissão de restauração e prontidão de comunicações fora de banda.
- Arquitetar fluxos de trabalho seguros para fases de recuperação de violação de identidade: controle confiável, suporte a detecção e triagem, transferência de contenção de usuário, transferência de contenção de identidade de aplicativo e carga de trabalho, revisão de persistência, portões de decisão de confiança de ambiente, restauração íntegra, recuperação de carga de trabalho downstream e validação.
- Traduzir padrões de ataque e persistência de identidade em requisitos de produto, incluindo registros de aplicativos maliciosos, abuso de credenciais de service principal, concessões de consentimento ilícitas, adulteração de políticas de acesso, alterações de atribuição de funções privilegiadas, alterações arriscadas de federação ou confiança, persistência de usuários convidados e abuso de associação a grupos.
- Definir requisitos de transferência de contenção para equipes de segurança de identidade, incluindo quando o produto deve orientar ou alertar os clientes sobre revogação de token/sessão, sequenciamento de redefinição de senha, rotação de credenciais de service principal, desativação de aplicativos, revisão de consentimento de administrador e controles de Acesso Condicional de emergência.
- Projetar padrões seguros de recuperação de Acesso Condicional, incluindo validação de dependência, proteção de conta break-glass, manuseio de estado de política, opções de restaurar como desativado/apenas relatório onde suportado e pontos de verificação de aprovação antes de reativar políticas de alto impacto.
- Projetar requisitos de segurança para recuperação de aplicativos, incluindo segredos de aplicativos gerados, novos IDs de chave, re-consentimento de permissão de API, ressalvas de permissão de Enterprise Application, validação de SSO/provisionamento, fluxos de trabalho de rotação de credenciais e relatórios seguros de segredos ou tarefas de remediação.
- Definir como o produto deve comparar o estado atual com backups íntegros conhecidos sem reivindicar detecção excessiva: objetos pós-ponto de recuperação, atribuições privilegiadas alteradas, credenciais de aplicativos alteradas, políticas de CA modificadas, Locais Nomeados alterados e associações alteradas.
- Ser responsável pelo modelo de validação de segurança após a restauração: validação de objetos críticos, validação de acesso privilegiado, validação de aplicativo/service principal, validação de dependência de CA, validação de acesso break-glass, listas de verificação de remediação manual e evidências/relatórios para equipes de segurança, auditoria e conformidade.
- Contribuir com profunda experiência onde as plataformas de identidade exigem orientação de segurança de recuperação especializada, incluindo risco de confiança de floresta/domínio do Active Directory, limites de confiança de controlador de domínio, manuseio de krbtgt e credenciais privilegiadas, considerações sobre AD CS e abuso de certificados, integridade de SYSVOL/GPO, suposições de confiança de DNS e sequenciamento seguro durante a recuperação de floresta.
- Colaborar com equipes de Produto, Engenharia, Arquitetura, Segurança e Campo para converter requisitos de segurança e recuperação em épicos, revisões de design, critérios de aceitação, planos de teste e orientações de recuperação voltadas ao cliente.
- Conduzir descoberta com clientes e campo junto a CISOs, respondedores a incidentes, arquitetos de AD, administradores de Entra ID, equipes de segurança de identidade, MSPs e clientes regulamentados/governamentais para validar cenários reais de segurança e recuperação.
- Acompanhar padrões de concorrentes e de mercado em Microsoft, Semperis, Quest, Cayosoft, Rubrik, Commvault, Veeam, CrowdStrike Identity, Microsoft Defender for Identity e fornecedores relacionados de ITDR/resiliência de identidade, com ênfase em fluxos de trabalho de segurança e recuperação em vez de comparação genérica de recursos.
- Orientar equipes internas de engenharia e produto sobre conceitos de segurança de AD/Entra, caminhos de ataque de identidade, princípios de segurança de recuperação e como construir fluxos de trabalho de segurança em primeiro lugar para infraestrutura de Nível 0.
O que você trará para nossa equipe
- Bacharelado em Ciência da Computação, Engenharia, Sistemas de Informação, Cibersegurança ou área técnica relacionada; experiência prática equivalente será fortemente considerada.
- Mais de 12 anos de experiência técnica prática em infraestrutura de identidade, arquitetura de cibersegurança, resposta a incidentes ou engenharia de segurança, com especialização profunda em segurança de identidade corporativa.
- Experiência direta na proteção ou recuperação de ambientes complexos de identidade, incluindo Active Directory, Microsoft Entra ID, identidade híbrida, federação, relações de confiança, limites de acesso privilegiado, identidades de aplicativos, identidades de carga de trabalho e prontidão para ransomware ou ataques destrutivos.
- Compreensão profunda dos internos de segurança do AD: Kerberos, NTLM, LDAP, ACLs/delegação, grupos privilegiados, hierarquia de administração, direitos de DCSync/replicação, rotação de krbtgt, risco de golden/silver ticket, confianças de domínio/floresta, histórico de SID, SPNs, delegação restrita/irrestrita/baseada em recursos, segurança de SYSVOL/GPO, DNS e risco de AD CS/PKI.
- Compreensão profunda da arquitetura de segurança do Entra ID: Acesso Condicional, PIM, funções privilegiadas, unidades administrativas, métodos de autenticação, Identity Protection, registros de aplicativos, enterprise applications, service principals, consentimento de OAuth, identidades de carga de trabalho, acesso cross-tenant, federação e comportamento de token/sessão.
- Forte compreensão da segurança de identidade híbrida: Entra Connect, Cloud Sync, sincronização de hash de senha, autenticação de passagem, AD FS/federação, sourceAnchor/ImmutableID, correspondência rígida/flexível, conflitos de fonte de autoridade e como o comprometimento local pode afetar ambientes Microsoft 365/Entra.
- Experiência prática com fluxos de trabalho de resposta a incidentes e recuperação de identidade, incluindo contenção de usuário comprometido, conceitos de revogação de token de atualização/sessão, resposta a comprometimento de aplicativo/service principal, revisão de consentimento de API, rotação de credenciais, resposta de emergência de Acesso Condicional e remoção de persistência.
- Experiência no design de arquitetura de segurança para ferramentas ou plataformas de alto privilégio que operam contra infraestrutura de Nível 0, incluindo manuseio seguro de credenciais, privilégio mínimo, separação de funções, registro de auditoria, resistência a adulteração, fluxos de trabalho de aprovação e modelos de chave/armazenamento gerenciados pelo cliente.
- Familiaridade com requisitos de recuperação de desastres e continuidade de negócios para sistemas de identidade, incluindo compensações de RTO/RPO, linhas de base íntegras conhecidas, ambientes de recuperação limpos, decisões de recuperação in-place versus tenant limpo e validação pós-restauração.
- Capacidade de traduzir requisitos complexos de segurança em requisitos de produto, padrões de arquitetura, diretrizes de fluxo de trabalho, avisos voltados ao cliente e critérios de aceitação que as equipes de engenharia possam implementar.
- Forte credibilidade junto ao cliente com CISOs, arquitetos de identidade, engenheiros de AD, equipes de SOC/IR, líderes de conformidade e partes interessadas executivas.
- Capacidade demonstrada de liderar sem autoridade entre equipes de Produto, Engenharia, Segurança, Arquitetura, Sucesso do Cliente, Engenharia de Vendas e parceiros.
- Bônus: Experiência trabalhando em ou com fornecedores que constroem produtos de backup, recuperação, ITDR, proteção de identidade ou resiliência de identidade híbrida para AD/Entra, como Semperis, Quest, Cayosoft, Microsoft, Rubrik, Commvault, Veeam, CrowdStrike Identity, Mandiant ou equivalente.
- Bônus: Experiência com Microsoft Defender for Identity, Microsoft Defender XDR, Microsoft Sentinel, Splunk, CrowdStrike, Semperis DSP, Quest, Cayosoft Guardian ou ecossistemas de detecção/resposta de identidade similares.
- Bônus: Certificações ou reconhecimento relevantes, como Microsoft Certified: Cybersecurity Architect Expert, Identity and Access Administrator, CISSP, GIAC, Microsoft MVP ou experiência prática equivalente.
A faixa salarial para esta função é de $180,000k - $270,000. Na AvePoint, nos esforçamos para oferecer recompensas totais competitivas, justas e equitativas. A faixa salarial listada representa uma estimativa de boa-fé, com ofertas finais baseadas em localização, experiência, habilidades e qualificações. A faixa listada reflete apenas o salário base; nossas recompensas totais incluem salário base, benefícios abrangentes (médico, odontológico, visão, 401(k) com contrapartida, PTO ilimitado) e, dependendo da função, bônus, comissões ou ações (RSUs). Aceitamos discussões sobre remuneração — inscreva-se mesmo que suas expectativas estejam fora da faixa.
Quaisquer dados pessoais que você compartilhar conosco durante o processo de candidatura serão processados estritamente em conformidade com as leis de proteção de dados aplicáveis e nosso Aviso de Privacidade.
Mais oportunidades com um só perfil
Quer aparecer para várias vagas sem repetir todo o processo? Crie seu perfil e seja encontrado pelas empresas que usam a Nort.
Criar meu perfil