Nabla développe des logiciels d’intelligence artificielle ambiante pour le secteur de la santé, afin de réduire le temps consacré à la documentation par les professionnels de santé. Son assistant s’intègre aux flux de travail cliniques pour aider les soignants à passer moins de temps sur les tâches administratives et davantage auprès des patients. La plateforme de l’entreprise est utilisée dans plus de 100 organisations de santé par plus de 50 000 professionnels de santé, avec un gain de temps déclaré de deux heures par jour en moyenne.
Ingénieur senior en sécurité des applications
Protégez la plateforme d’IA médicale de Nabla et les données cliniques en renforçant la sécurité des applications, les protections du cloud et les pratiques sécurisées des agents d’IA.
Description
- Conseiller les équipes produit lors des revues de conception de sécurité et de la modélisation des menaces liées aux fonctionnalités, notamment pour les choix d’authentification, d’autorisation, de jetons et de sessions.
- Protéger les clients OAuth, les codes à usage unique, les environnements multi-organisations, les points de terminaison utilisateur de la Core API et les SDK intégrés utilisant postMessage.
- Détecter les vulnérabilités BOLA, IDOR et autres failles de contrôle d’accès.
- Examiner et hiérarchiser les résultats des outils SAST, SCA, d’analyse des secrets et de l’infrastructure sous forme de code, ainsi que des revues de code assistées par l’IA.
- Attribuer les constats à des responsables avec des SLA et réduire le retard de traitement des vulnérabilités des dépendances.
- Mettre directement en œuvre les correctifs de sécurité lorsque cela est pertinent.
- Protéger les fonctionnalités d’IA et de LLM ainsi que les agents internes contre l’injection de prompts, l’accès excessif aux outils ou aux autorisations, l’exposition de données de santé protégées (PHI), les échecs de désidentification et l’envoi de données vers des modèles ou des API.
- Planifier et mener des tests d’intrusion sur les systèmes web, mobiles et administratifs.
- Vérifier les corrections et gérer le programme de divulgation des vulnérabilités.
- Lancer un programme de bug bounty.
- Créer des contrôles sécurisés par défaut, notamment des recommandations de programmation, des bibliothèques et des modèles renforcés, ainsi que des vérifications avant commit et dans les pull requests.
Exigences
- Justifier de 5 à 8 ans ou plus d’expérience en ingénierie de la sécurité, dont 2 à 3 ans ou plus en sécurité des applications ou des produits, ou d’une expérience en ingénierie logicielle avec une forte spécialisation en sécurité.
- Maîtriser en profondeur la sécurité web et des API modernes, notamment OAuth 2.0/OIDC, la conception des sessions et des jetons, le multi-tenant, OWASP Top 10 et API Top 10.
- Repérer les failles de contrôle d’accès en examinant le code.
- Écrire et relire du code de production, principalement en Kotlin et Python, et intervenir sur des clients web, mobiles et desktop.
- Automatiser des tâches avec Python.
- Avoir une expérience de pilotage de la modélisation des menaces et des revues de conception de sécurité.
- Avoir exploité des outils SAST, SCA et d’analyse des secrets en CI avec un processus efficace de tri des constats.
- Passer aisément des revues de conception d’API au renforcement de la chaîne d’approvisionnement logicielle et à la gestion des incidents de sécurité.
- Communiquer efficacement et collaborer avec les équipes d’ingénierie, de conformité et d’informatique.
- Maîtriser parfaitement le français et l’anglais à l’oral comme à l’écrit dans un contexte professionnel.
Avantages
- Travail hybride avec un bureau à Paris et la possibilité de travailler à distance depuis la France.
- Du temps pour faire de l’exercice pendant la journée de travail au moins trois fois par semaine, avec des activités au choix comme le yoga, la course à pied, le Pilates ou le HIIT.
- Des séminaires d’équipe réguliers hors site.
- Des possibilités de rendre visite aux collègues dans des villes comme New York, Paris et San Francisco.
- Un environnement de travail inclusif et diversifié.
- La possibilité de refuser l’enregistrement de l’entretien sans incidence sur la candidature.