Estados Unidos
HEARTLAND BUSINESS SYSTEMS LLC
Lockton
Líder Global de Segurança de Aplicações
Estados Unidos
Overland Park, Kansas, United States
JavaScriptTypeScriptPythonJavaGo
Tradução automática. Consulte o original.
Sobre a oportunidade
O Líder Global de Segurança de Aplicações é responsável pela execução diária do programa de segurança de aplicações e DevSecOps em todas as unidades de negócio e regiões. O cargo é responsável pelos controles de segurança incorporados ao ciclo de vida de desenvolvimento de software, desde o design seguro e modelagem de ameaças até a análise estática e de composição, testes dinâmicos, gerenciamento de segredos e endurecimento de produção.
Esta é uma função de liderança técnica prática com responsabilidade de gestão de pessoas. O Líder gerencia a equipe de engenharia de segurança de aplicações, define os padrões de trabalho que as equipes de engenharia seguem, opera o conjunto de ferramentas de AppSec e realiza e direciona testes em nível de aplicação. A estratégia, o orçamento e os relatórios executivos ficam a cargo do Arquiteto Global de Segurança Corporativa; o Líder é responsável pela entrega conforme essa estratégia, pela qualidade técnica do programa e pelo desempenho e desenvolvimento da equipe.
Detalhes da Posição
Reporta-se a: Arquiteto Global de Segurança Corporativa, Arquitetura e Engenharia de Segurança (SA&E)
Localização: Kansas City, MO. Presencial três dias por semana.
Viagens: Viagens periódicas para centros regionais de tecnologia.
Cobertura: Suporte às equipes de engenharia nos fusos horários dos EUA, Reino Unido, MENA e APAC.
Relatórios Diretos: 2 engenheiros de segurança de aplicações, além da direção técnica de recursos de engenharia offshore da LGCC.
Primeiros 12 meses - Medidas de Sucesso
- Ferramentas de AppSec implantadas e integradas em 80%25 dos repositórios de nível 1 e nível 2 com cobertura de varredura acordada
- Classificação de risco concluída para todo o portfólio de aplicações e expectativas de controle publicadas por nível
- SLAs de remediação definidos, acordados com a liderança de engenharia e relatados mensalmente
- Programa de Campeões de Segurança operando com campeões nomeados em cada grupo principal de engenharia
- Diretrizes de codificação assistida por IA implementadas e adoção medida em toda a população de desenvolvedores
- Estrutura de equipe, expectativas de cargo e planos de desenvolvimento individual estabelecidos para todos os relatórios diretos
#LI-JM
Responsabilidades Principais
Entrega do Programa
- Executar o roteiro faseado de segurança de aplicações definido pelo Arquiteto Global de Segurança Corporativa, sendo responsável pela entrega de marcos, dependências e relatórios de status
- Operar o modelo de governança de aplicações em níveis (T1/T2/T3), incluindo a entrada de classificação de risco, expectativas de controle por nível e reclassificação periódica do portfólio de aplicações
- Definir e manter padrões de SDLC seguro, diretrizes de codificação segura e portões de controle em cada estágio do pipeline de desenvolvimento
- Rastrear e relatar métricas operacionais de AppSec: cobertura de varredura, volume de descobertas por severidade, tempo médio de remediação, adesão ao SLA e backlog de exceções
- Manter o registro de exceções e aceitação de risco de segurança de aplicações, escalando riscos materiais para o Arquiteto Global de Segurança Corporativa
Propriedade Técnica
- Ser responsável pelo conjunto de ferramentas de AppSec de ponta a ponta: SAST, SCA, DAST, varredura de segredos e varredura de contêineres e IaC, incluindo implantação, ajuste, gerenciamento de regras e integração de pipeline
- Liderar exercícios de prova de conceito de ferramentas, definir critérios de avaliação, realizar comparações técnicas e produzir documentação de recomendação para revisão de arquitetura
- Realizar e direcionar testes internos de penetração em aplicações, revisão manual de código e modelagem de ameaças em aplicações de nível 1 e de alto risco
- Triar descobertas de todas as fontes, validar a explorabilidade, remover falsos positivos e conduzir a remediação com as equipes de engenharia responsáveis
- Gerenciar o escopo de testes de penetração de terceiros, coordenação de fornecedores, validação de descobertas e fechamento de retestes
- Manter e aplicar diretrizes para desenvolvimento assistido por IA, incluindo ferramentas de codificação de IA aprovadas, ferramentas agentic, uso de servidor MCP e controles de procedência de dependência abordando riscos de cadeia de suprimentos e slopsquatting
Liderança de Equipe e Gestão de Pessoas
- Construir, liderar e desenvolver a equipe de engenharia de segurança de aplicações, incluindo funcionários locais e recursos de engenharia offshore da LGCC
- Ser responsável pela contratação para a função: definição de cargo, design do processo de entrevista, avaliação de candidatos e integração
- Conduzir avaliações de desempenho, definir objetivos individuais e gerenciar questões de desempenho em parceria com o RH
- Definir planos de carreira, matrizes de habilidades técnicas e planos de desenvolvimento individual para engenheiros de segurança de aplicações
- Alocar trabalho e gerenciar a capacidade da equipe em relação ao roteiro do programa e à demanda de entrada
- Fornecer mentoria técnica sobre revisão de código seguro, técnica de exploração, operação de ferramentas e qualidade de redação de descobertas
- Fornecer subsídios para o planejamento de headcount e solicitações de recursos offshore para revisão pelo Arquiteto Global de Segurança Corporativa
- Definir runbooks, playbooks e procedimentos repetíveis para que as operações de AppSec não dependam de conhecimento individual
- Gerenciar a coordenação diária e as transferências entre os fusos horários dos EUA, Reino Unido, MENA e APAC
Parceria Interfuncional
- Fazer parceria com as equipes de Engenharia, DevOps, Plataforma e Produto para incorporar controles aos fluxos de trabalho de entrega com o mínimo de atrito à velocidade de lançamento
- Atuar como primeira linha de escalonamento técnico para descobertas de segurança de aplicações, disputas de remediação e decisões de bloqueio de lançamento, escalando decisões de risco não resolvidas
- Apoiar as equipes de GRC e auditoria com evidências, narrativas de controle e artefatos de teste para obrigações NYDFS 23 NYCRR 500, HITRUST, GDPR e DORA
- Apoiar a resposta a incidentes para incidentes relacionados a software, incluindo triagem de vulnerabilidades, análise de exploração e contribuição para a causa raiz
- Traduzir descobertas técnicas em impacto de negócios para proprietários de aplicações e partes interessadas não técnicas
Campeões de Segurança e Cultura
- Operar o programa de Campeões de Segurança dentro das equipes de engenharia, incluindo seleção de campeões, conteúdo de capacitação e sessões de trabalho recorrentes
- Ministrar treinamento de codificação segura e capacitação direcionada com base em padrões de defeitos observados na base de código
- Impulsionar a adoção de shift-left para que os defeitos de segurança sejam encontrados e corrigidos no desenvolvimento, em vez de nos portões de lançamento
Requisitos mínimos
- 10 anos em segurança de aplicações, segurança de produto ou engenharia de software segura, incluindo 2 anos em uma função de liderança ou gestão
- Experiência comprovada em gestão de pessoas, incluindo contratação, gestão de desempenho e desenvolvimento de carreira de equipe de segurança ou engenharia
- Experiência liderando equipes distribuídas em vários fusos horários, incluindo recursos de engenharia offshore
- Experiência prática comprovada na operação de ferramentas SAST, SCA, DAST e varredura de segredos em escala empresarial, incluindo integração de pipeline e ajuste de regras
- Capacidade comprovada de realizar revisão manual de código seguro e testes de penetração de aplicações, com domínio de trabalho do Burp Suite Pro ou equivalente
- Conhecimento prático de pelo menos dois dos seguintes: .NET, Java, Python, JavaScript/TypeScript, Go
- Experiência prática na proteção de pipelines CI/CD e cargas de trabalho nativas da nuvem, com preferência por Azure e Azure DevOps ou GitHub Actions
- Fluência com OWASP Top 10, OWASP ASVS, OWASP SAMM ou BSIMM e CWE
- Experiência em apoiar auditorias regulatórias ou de certificação em um setor regulamentado
- Capacidade de escrever descobertas técnicas claras e estruturadas e documentação de padrões para públicos de engenharia e auditoria
Qualificações Preferenciais
- Experiência em serviços financeiros, seguros ou outro setor regulamentado
- Experiência com segurança da cadeia de suprimentos de software, geração de SBOM e controles de procedência de dependência
- Experiência na definição de controles para ferramentas de desenvolvimento assistido por IA e revisão de código gerado por IA
- Certificações como OSWE, OSCP, GWAPT, CSSLP ou CISSP
Mais oportunidades com um só perfil
Quer aparecer para várias vagas sem repetir todo o processo? Crie seu perfil e seja encontrado pelas empresas que usam a Nort.
Criar meu perfil