В компании Instructure мы верим в силу людей расти и добиваться успеха на протяжении всей жизни. Наша цель — усилить эту силу, создавая интуитивно понятные продукты, которые упрощают обучение и личностное развитие, способствуют значимым отношениям и вдохновляют людей идти дальше в образовании и карьере.
Мы делаем это, предоставляя умным, креативным и страстным людям возможности создавать потрясающее. И вот где вы вступаете в игру:

Мы расширяем нашу команду инженеров по безопасности и создаём специализированное подразделение по безопасности приложений. Вы присоединитесь к команде, которая отвечает за безопасность кода приложений, зависимостей, API и жизненного цикла разработки продуктов Canvas, Mastery и Parchment, которыми пользуются десятки миллионов студентов, преподавателей и учреждений.

То, что мы действительно измеряем — это снижение рисков. Не количество зарегистрированных уязвимостей, не покрытие сканирования, не закрытые тикеты. Это формирует суть работы: большая часть заключается в формировании обоснованного взгляда на то, какой риск на самом деле несёт та или иная проблема, снижении этого риска и передаче остаточного риска в нашу программу управления рисками, чтобы бизнес мог принять по нему осознанное решение. Мы предпочли бы, чтобы вы правильно классифицировали десять проблем и снизили три действительно важных, чем обрабатывать тысячу оповещений.

Наша команда инженеров по безопасности организована в два специализированных направления: безопасность приложений и безопасность облачной инфраструктуры, чтобы инженеры развивали глубокие знания в своей области, а не поверхностно охватывали всё подряд. Вы будете отвечать за область приложений и станете в ней настоящим экспертом. Мы подробно описали, за что отвечает эта роль, а за что — нет, потому что считаем, что неясность в вопросах ответственности — одна из главных причин, почему работа в командах безопасности становится неприятной.

Вы будете тесно сотрудничать с командами разработки продуктов. Многие из желаемых нами результатов в области безопасности достигаются разработчиками, а не инженерами по безопасности, поэтому эффективность этой роли во многом измеряется тем, насколько вы облегчаете разработчикам создание безопасного ПО, а не количеством зарегистрированных уязвимостей.

Основные инженерные обязанности

Это основа каждой инженерной роли в нашей команде безопасности. Вы будете отвечать за них в области приложений: код, зависимости, API и жизненный цикл разработки (SDLC):

Классификация риска и передача остаточного риска: Определять, какой риск на самом деле представляет собой найденная проблема или архитектурное решение в контексте: экспозиция, чувствительность данных, возможность эксплуатации, радиус поражения, влияние на бизнес. Оценка серьезности, назначаемая инструментом, — это входные данные, а не окончательный ответ — высокий CVSS балл для недоступного компонента может означать низкий риск, а средний балл для публичного эндпоинта, обрабатывающего данные студентов, — нет.

Серьезность определяем мы, как и рамки оценки: Снижайте риск, а если его нельзя уменьшить до приемлемого уровня, формируйте обоснование остаточного риска: что это за риск, что было предпринято, что осталось и что потребуется для его устранения.

Мы сами не принимаем риск и не храним его молча: см. ниже, кто этим занимается.

Управление уязвимостями: триаж, оценка серьезности и доведение исправлений до завершения для находок из наших инструментов сканирования. Это означает сотрудничество с командой, ответственной за продукт, а не просто создание тикета и уход.

Компенсирующие меры: когда уязвимость нельзя устранить напрямую, проектирование и внедрение контроля, снижающего риск до приемлемого уровня, с документированием обоснования и условий истечения срока действия.

Оценка ложных срабатываний: исследование находок, определение реальной возможности эксплуатации в контексте и подавление несущественных проблем с записью обоснования. Мы рассматриваем подавление как инженерное решение, требующее письменного обоснования, а не способ очистить очередь.

Автоматизация безопасности CI/CD: создание и поддержка проверок и ворот в пайплайне, которые выявляют проблемы до выпуска. Мы предпочитаем автоматизировать класс проблем, чем вечно их проверять вручную.

Инструменты безопасности: установка, настройка, интеграция и обработка данных для цепочки инструментов безопасности приложений.

Специализация по безопасности приложений

Моделирование угроз: работа с командами продукта и разработки для выявления проблем на уровне архитектуры до их реализации.

Ручной обзор кода на безопасность: проверка логики и ошибок авторизации, которые сканеры часто пропускают.

Пайплайн SAST/SCA: ответственность за покрытие статического анализа и сканирования зависимостей (Snyk, CodeQL, Wiz Code), качество сигналов и удобство для разработчиков.

Безопасные настройки по умолчанию и библиотеки с «протоптанной дорожкой»: создание общих библиотек и шаблонов, которые делают безопасный путь простым и удобным.

Поддержка разработчиков: обучение, документация, часы консультаций и помощь в проектировании.

Партнёрство с продуктом: см. ниже.

Программа вознаграждения за баги: сотрудничество с инженером по наступательной безопасности для помощи в коммуникации с исследователями и управлении триажем.

Обзор технических спецификаций: проверка спецификаций приложений по нашему рубрикатору безопасности с эскалацией высокорисковых и новых решений к нашему ведущему инженеру или менеджеру.

Партнёрство с продуктом

У этой роли две аудитории, и вторая часто отсутствует в командах безопасности.

Команды разработки — это ежедневное сотрудничество, люди, которые пишут код и выпускают исправления. Но продуктовые менеджеры должны видеть риски, связанные с их продуктами, в понятных им терминах, чтобы принимать меры.

Продуктовые менеджеры постоянно принимают решения о приоритетах. Они должны делать это с учётом видимости рисков безопасности, а не узнавать о них постфактум. На практике это означает регулярные обзоры рисков с руководством продукта в вашей области, формулирование рисков в обратной связи по обзору спецификаций и то, что продуктовый менеджер может спросить у вас «насколько это действительно рискованно?» и получить честный, не панический ответ.

Это навык, отличный от сотрудничества с разработчиками: аудитория может быть менее технической, временной горизонт длиннее, а валюта — влияние на бизнес, а не детали исправления. Если вам нравится — или вы хотите научиться — переводить технические риски для нетехнической аудитории, эта часть роли предлагает много возможностей.

Эскалация крупных инцидентов

У нас есть SOC, который обрабатывает подавляющее большинство оповещений, а также триаж уровней L1 и L2. Вы будете участвовать в ротации дежурств по безопасности, но не будете заниматься рутинным триажем оповещений.

Однако когда крупный инцидент эскалируется выше L2 и для его решения требуется глубокая экспертиза либо в инструментах, сгенерировавших оповещение, либо в затронутых системах приложений, вас могут привлечь как эксперта по предметной области. Это ограничивается только крупными инцидентами, экспертиза по запросу, а не первая реакция. SecOps управляет инцидентом, вы — для глубины экспертизы, а не процесса.

Присоединяйтесь ко всему классному в Instructure!

Мы предлагаем конкурентоспособные и значимые льготы в каждой стране, где работаем. Хотя они различаются в зависимости от локации, вот общее представление о том, чего ожидать:

• Конкурентная оплата труда, а также участие всех штатных сотрудников в нашей программе владения акциями — потому что каждый должен иметь долю в нашем успехе.

• Гибкая культура работы. Наши удалённые, гибридные и офисные пространства для сотрудничества варьируются в зависимости от роли, команды и местоположения.

• Щедрый отпуск, включая местные праздники и ежегодный период «Dim the Lights» в конце декабря, когда команды поощряются сделать паузу и восстановить силы в зависимости от потребностей отдела.

• Комплексные программы оздоровления и поддержки психического здоровья.

• Ресурсы для обучения и развития, включая инструменты профессионального роста и компенсацию обучения, чтобы поддержать ваше развитие.

• Технологии и инструменты, необходимые для вашей лучшей работы.

• Программа признания сотрудников Motivosity.

• Культура, основанная на инклюзивности, поддержке и значимых связях.

Мы верим в найм отличных людей и правильное отношение к ним. Чем разнообразнее мы, тем лучше наши идеи и результаты.

Instructure является работодателем с равными возможностями. Мы соблюдаем применимые законы о трудоустройстве и недискриминации в каждой стране, где работаем.

Все сотрудники должны пройти проверку биографии в рамках процесса найма. Чтобы защитить наши команды и системы, мы внедрили меры проверки личности. Кандидатов могут попросить подтвердить своё законное имя, текущее физическое местоположение, а также предоставить действующий контактный номер и адрес проживания в соответствии с местными законами о защите данных.

Любая попытка искажения личной или профессиональной информации приведёт к дисквалификации.