Allwyn UK provozuje britskou Národní loterii a je součástí Allwyn Entertainment Group, mezinárodní společnosti působící v oblasti loterií a her na několika evropských trzích. Její činnost propojuje technologie, digitální hry a rozsáhlou transformaci sektoru sázení a her se zaměřením na inovace a zodpovědné hraní. Prostřednictvím britské Národní loterie Allwyn UK podporuje službu celostátního významu a zároveň hledá nové způsoby, jak zlepšovat zkušenosti hráčů a vytvářet širší společenskou hodnotu.
Architekt bezpečnosti webových a cloudových aplikací — Allwyn UK, Warrington, hybridní režim
Tvořte bezpečnostní architekturu webových, mobilních, API a cloudových platforem National Lottery společnosti Allwyn UK. Veďte modelování hrozeb, bezpečný návrh, testování aplikací a zavádění DevSecOps.
Popis
- Podporovat bezpečnostní architekturu mobilních a webových iniciativ od průzkumu a návrhu až po vývoj, testování, vydání a provoz
- Spolupracovat s architekty, inženýry, produktovými týmy, vedoucími dodávek a externími partnery na začlenění bezpečnosti do dodávky při zachování rovnováhy mezi rychlostí, náklady, použitelností a kvalitou
- Vytvářet a udržovat podrobné bezpečnostní návrhy, požadavky, architektonická rozhodnutí, opakovaně použitelné vzory a dokumentaci k zajištění bezpečnosti
- Vést modelování hrozeb aplikací pomocí metod, jako je STRIDE, a zaznamenávat hrozby, cesty útoků, hranice důvěry, opatření a zbývající rizika
- Vyhodnocovat webové a mobilní aplikace, API, mikroslužby, procesy identity, cloudové služby a integrace třetích stran
- Stanovovat bezpečnostní požadavky pro autentizaci, autorizaci, relace, tajné údaje, kryptografii, ochranu dat, zabezpečení API, protokolování, monitorování, odolnost a bezpečnou konfiguraci
- Využívat OWASP Top 10, ASVS, MASVS a postupy secure by design jako vodítko pro architektonická rozhodnutí
- Radit týmům dodávek v oblasti bezpečného návrhu webových a mobilních aplikací
- Formovat přístupy k testování bezpečnosti aplikací včetně SAST, DAST, SCA, detekce tajných údajů, testování API, mobilního testování, IAST a penetračního testování
- Pomáhat začleňovat bezpečnostní kontroly a automatizované kontroly do CI/CD pipeline včetně kvalitativních bran a procesů pro výjimky
- Vyhodnocovat bezpečnostní nálezy, zpochybňovat falešně pozitivní výsledky, určovat priority nápravy a pomáhat týmům zavádět praktické opravy
- Definovat rozsah penetračních testů a plány bezpečnostního testování, koordinovat hodnocení a posuzovat výsledky nápravných opatření
- Komunikovat bezpečnostní rizika, nedostatky kontrol a problémy s dodržováním předpisů, aby odpovědní vlastníci mohli přijímat informovaná rozhodnutí o rizicích
- Vytvářet opakovaně použitelné bezpečnostní vzory, standardy, ochranná pravidla a referenční architektury
- Rozvíjet komunity inženýrů a architektů v oblasti bezpečného návrhu, modelování hrozeb a bezpečného vývoje
Požadavky
- Významné zkušenosti s podnikovou architekturou zabezpečení aplikací, produktovou bezpečností nebo bezpečnostním inženýrstvím
- Zkušenosti s návrhem zabezpečení moderních webových a mobilních aplikací a API
- Silné porozumění běžným hrozbám webových, mobilních aplikací a API a kontrolám používaným k jejich řešení
- Praktické zkušenosti s modelováním hrozeb včetně převodu zjištění na jasné a dohledatelné bezpečnostní požadavky
- Dobrá znalost bezpečného životního cyklu vývoje, DevSecOps, agilního vývoje a zabezpečení CI/CD
- Zkušenosti se specifikací a interpretací testování bezpečnosti aplikací včetně SAST, DAST, SCA, testování API a mobilních aplikací a penetračního testování
- Znalost správy identity a přístupu v aplikacích včetně autentizace, autorizace, federace, tokenů a ochrany relací
- Porozumění cloudovým nativním prostředím s kontejnery, serverless službami a mikroslužbami
- Zkušenosti s mapováním datových toků a zaváděním ochrany citlivých informací
- Jasná písemná i ústní komunikace a schopnost poskytovat praktické rady založené na rizicích
- Znalost zabezpečení webu a API včetně HTTP/S, ovládacích prvků prohlížečů, CORS, CSP, REST a GraphQL
- Znalost zabezpečení iOS a Androidu včetně bezpečného úložiště, oprávnění, deep linků, ochrany přenosu a integrity aplikací
- Zkušenosti s nástroji pro zabezpečení aplikací, jako jsou Burp Suite, OWASP ZAP, Snyk, SonarQube nebo srovnatelné produkty
- Praktická znalost běžně používaného programovacího nebo skriptovacího jazyka
- Znalost bezpečnostního protokolování, monitorování a reakce na incidenty u zákaznicky zaměřených aplikací
- Znalost standardů a rámců OWASP, NIST, ISO 27001, CIS a PCI DSS
- Zkušenosti s ochranou digitálních služeb s vysokým objemem provozu v regulovaném prostředí jsou výhodou
- Znalost vydávání aplikací v obchodech, mobilní attestation, application shieldingu nebo ochrany za běhu je výhodou
- Znalost zabezpečení kontejnerů, Kubernetes, infrastruktury jako kódu nebo zásad jako kódu je výhodou
- Zkušenosti s vytvářením vzorů a standardů zabezpečení aplikací nebo programů pro podporu vývojářů jsou výhodou
- Relevantní certifikace, například CISSP, CSSLP, SABSA, CREST nebo OSWE, je výhodou
- Zkušenosti v loteriích, herním průmyslu, platbách, maloobchodu, financích nebo jiném regulovaném odvětví jsou výhodou
Benefity
- Firemní bonusový program
- Příspěvky na penzijní připojištění s dorovnáním až do 8,5 %
- 26 dní dovolené, dva dny Life Days a státní svátky
- Individuální soukromé zdravotní pojištění
- Bezplatná soukromá zdravotní péče
- Pojištění pro případ ztráty příjmu
- Flexibilní balíček benefitů včetně programu elektromobilů, finančního koučinku, sepsání závěti, hypotečního poradenství, zubní péče a péče o zrak
- Nadstandardní mateřská, otcovská a adopční dovolená
- Příspěvek na wellness ve výši 500 liber
- Program pomoci zaměstnancům
- Zvýhodněná zdravotní vyšetření
- Dny pro dobrovolnictví
- Program dorovnání příspěvků
- Možnost pohovoru pro uchazeče se zdravotním postižením, kteří splňují základní kritéria
- Pomoc a přiměřené úpravy během náborového procesu