Engineering Tech Lead (Product Security) in Sachseln

Diese Position wird im Auftrag eines Partnerunternehmens ausgeschrieben, das alle Anwendungen und nächsten Schritte verwaltet. Unser Partner sucht einen Engineering Tech Lead (Product Security) mit Sitz in der Schweiz. Treten Sie einem remote-first Engineering-Team bei, das eine Infrastruktur für Kubernetes und KI der nächsten Generation für Organisationen im großen Maßstab aufbaut.

In dieser praktischen technischen Führungsrolle helfen Sie, die Infrastruktur-Software zu sichern, indem Sie Schwachstellen identifizieren, Penetrationstests durchführen und die Sicherheit über cloud-native Produkte hinweg stärken. Sie bringen tiefgehende Kubernetes-Expertise in Bedrohungsmodellierung, sicherheitsrelevante Designüberprüfungen und Schwachstellenbehebung ein und helfen Ingenieuren, sichere Systeme von Grund auf zu erstellen.

Sie arbeiten eng mit den Engineering-Teams zusammen, um technische Entscheidungen zu leiten, Sicherheitspraktiken zu verbessern und sicherzustellen, dass Schwachstellen durch verifizierte Lösungen und gepatchte Releases behoben werden. Sie tragen auch zur Produktion von qualitativ hochwertigem Go-Code bei und helfen, die Container-Isolation und kritische Infrastrukturkomponenten zu schützen.

Dies ist eine Gelegenheit, die Produktsicherheit in einer schnell wachsenden, open-source-orientierten Umgebung zu gestalten, in der Eigenverantwortung, technische Exzellenz und messbare Auswirkungen wichtig sind.

Verantwortlichkeiten

• Penetration Testing und Sicherheitsbewertungen: Durchführung von praktischen Penetrationstests von Produkten und Infrastruktur zur Identifizierung und Ausnutzung von Schwachstellen, insbesondere in Kubernetes-Umgebungen, Container-Isolation und cloud-native Systemen.
• Schwachstellenmanagement: Untersuchung, Triage, Priorisierung und Behebung von Sicherheitsanfälligkeiten im Anwendungscode und in Abhängigkeiten, wobei die Verantwortung von der Entdeckung bis zur Patch-Entwicklung, Veröffentlichung und Verifizierung übernommen wird.
• Bedrohungsmodellierung und sicheres Design: Überprüfung neuer Funktionen und sicherheitsrelevanter architektonischer Designs früh im Entwicklungszyklus, Identifizierung potenzieller Angriffswege, Risikobewertung und Empfehlung praktischer Minderung.
• Kubernetes-Sicherheit: Analyse der Angriffsflächen von Kubernetes, einschließlich Risiken für Container-Ausbrüche, Privilegieneskalation, rollenbasierte Zugriffskontrolle (RBAC), Zulassungssteuerung und Sicherheitsrichtlinienkonfigurationen.
• Kubernetes-Interna und Infrastruktur-Sicherheit: Anwendung eines starken Verständnisses der Kubernetes-Komponenten, einschließlich des API-Servers, der Controller, der Zulassungsmechanismen und des Kubelets, um Schwächen zu identifizieren und die Systemsicherheit zu stärken.
• Code- und Architekturüberprüfungen: Teilnahme an Code-Überprüfungen, Design-Diskussionen und technischen Überprüfungen zur Identifizierung von Sicherheitsproblemen und zur Förderung robuster Ingenieurpraktiken.
• Sichere Ingenieurpraktiken: Zusammenarbeit mit Ingenieuren im gesamten Unternehmen, um sichere Standards, Sicherheitsprüfungen und bedrohungsbewusste Entwicklungspraktiken in den Produktlebenszyklus einzubetten.
• Produktion von Software: Aufbau, Wartung und Verbesserung von produktionsgerechter Software mit Go, wobei direkt zu sicheren und zuverlässigen Infrastrukturkomponenten beigetragen wird.
• Sicherheitskommunikation und -zusammenarbeit: Klare Erklärung von Schwachstellen, Angriffsszenarien und Behebungsprioritäten gegenüber den Engineering-Stakeholdern, um den Teams zu helfen, informierte Sicherheitsentscheidungen zu treffen.
• Kontinuierliche Sicherheitsverbesserung: Stärkung der Sicherheitsprozesse, Praktiken zur Handhabung von Schwachstellen und Ingenieurstandards, während sich die Plattform und ihre Bedrohungslandschaft weiterentwickeln.

Anforderungen

• Praktische Erfahrung in der Durchführung von Penetrationstests und der Identifizierung sowie Ausnutzung von Schwachstellen in Produktionssystemen.
• Tiefgehende praktische Expertise in der Kubernetes-Sicherheit, insbesondere in Bezug auf Container-Isolation, Szenarien für Container-Ausbrüche, Privilegieneskalation, RBAC und bewährte Sicherheitsrichtlinien.
• Starkes Verständnis der Kubernetes-Interna, einschließlich des API-Servers, der Zulassungssteuerung, der Controller, RBAC und des Kubelets.
• Erfahrung im Aufbau von Kubernetes-Controllern oder -Betreibern mit Tools wie controller-runtime, Kubebuilder oder client-go ist sehr relevant.
• Nachgewiesene Erfahrung in der Bedrohungsmodellierung, im sicheren Systemdesign und in der Überprüfung von Produktionsarchitekturen auf Sicherheitsrisiken.
• Nachweisliche Fähigkeit zur Untersuchung und Behebung von Schwachstellen in der Software, an der Sie arbeiten, einschließlich Vertrautheit mit dem CVE-Lebenszyklus, koordinierter Schwachstellenoffenlegung und Sicherheits-Patch-Releases.
• Berufserfahrung im Aufbau und Versand von Produktionssystemen mit Go als primäre Programmiersprache.
• Starke Grundlagen in der Softwareentwicklung, einschließlich Code-Überprüfung, Debugging, sicheren Entwicklungspraktiken und praktischer Risikobewertung.
• Fähigkeit, komplexe technische Risiken und Sicherheitsempfehlungen klar an Ingenieure und andere Stakeholder zu kommunizieren.
• Proaktive, unabhängige Herangehensweise an Problemlösungen mit der Fähigkeit, Verantwortung für Sicherheitsprobleme zu übernehmen und diese bis zur Lösung voranzutreiben.
• Eine kollaborative Denkweise und Engagement für die Verbesserung der Sicherheitspraktiken in den Engineering-Teams.

Nice to have:

• Zertifizierung als Kubernetes Security Specialist (CKS).
• Erfahrung in einem frühen Startup oder in einer schnell wachsenden Organisation, in der Autonomie, Anpassungsfähigkeit und Initiative entscheidend sind.
• Vertrautheit mit Open-Source-Entwicklung und cloud-native Infrastrukturprojekten.

Vorteile

• Wettbewerbsfähige Vergütung: Jahresgehalt für in Kanada ansässige Kandidaten zwischen CA$140,000 und CA$200,000, abhängig von Erfahrung und Standort.
• Eigenkapital- und Bonusmöglichkeiten: Das Vergütungspaket umfasst Eigenkapital und eine Bonusmöglichkeit.
• Umfassende Versicherungsdeckung: Gesundheits-, Zahn-, Augen- und Lebensversicherung mit Plänen für berechtigte Angehörige; die Deckung kann je nach Land variieren.
• Flexibler Arbeitszeitplan: Flexibilität, Ihren Zeitplan um persönliche Verpflichtungen herum zu gestalten, mit Schwerpunkt auf Ergebnissen statt auf festen Arbeitszeiten.
• Flexibilität beim Remote-Arbeiten: Remote-first Arbeitsarrangements mit Flexibilität, wo Sie arbeiten.
• Globale Zusammenarbeit: Arbeiten Sie mit einem verteilten Team von Infrastruktur-Ingenieuren an herausfordernden, hochwirksamen technischen Problemen.
• Technische Verantwortung: Möglichkeit, die Produktsicherheit, Infrastrukturarchitektur und sichere Ingenieurpraktiken zu beeinflussen.
• Open-Source-Umgebung: Beitrag zu einer Kultur, die Open-Source-Technologie, kontinuierliches Lernen und innovative Ansätze für komplexe Ingenieurherausforderungen schätzt.