サイバーセキュリティエンジニア、アプリケーションセキュリティ（ペンシルベニア州リモート）
ソフトウェア開発ライフサイクル全体と CI/CD パイプラインを通じて、TherapyNotes の行動医療 SaaS アプリケーションを保護します。脆弱性管理、クラウドセキュリティ、医療分野のコンプライアンスを主導します。
仕事内容
- ソフトウェア開発ライフサイクル全体と CI/CD パイプラインにおけるアプリケーションセキュリティを主導する
- 開発チームと連携し、SDLC と CI/CD ワークフロー全体にセキュリティプラクティスを組み込む
- 顧客データの機密性、完全性、可用性を守る安全なコーディング標準とプラクティスを適用する
- セキュリティ評価、コードレビュー、脅威モデリングを実施する
- GitHub Advanced Security を管理し、コード、シークレット、依存関係のスキャン結果を調査する
- 繰り返し発生する脆弱性の傾向を分析し、組織全体の修正方針を提案する
- スキャン対象を拡大しながら、セキュリティ設定とワークフローを改善する
- ID、ランナー、権限、シークレットを保護して CI/CD パイプラインと GitHub Actions を守る
- アクションのレビュー、依存関係の管理、アクションのピン留め、アーティファクトの出所管理により、ソフトウェアサプライチェーンへの露出を抑える
- Terraform などの Infrastructure as Code におけるセキュリティ上の弱点を評価する
- IT プラットフォームチームと連携し、IaC スキャンと安全なデプロイプラクティスを推進する
- アプリケーションセキュリティ制御を HIPAA、HITRUST、HITECH の要件に対応付け、定期監査を支援する
- 開発者と協力し、効果的なパッチ適用または緩和策によって脆弱性を解決する
- SAST、DAST、脆弱性管理ソリューションを構築、導入、維持する
- アプリケーションセキュリティインシデント対応、根本原因分析、修正計画を支援する
- 開発チーム向けの安全なコーディング意識向上施策の実施を支援する
- 脆弱性管理、インシデント対応、ID・アクセスセキュリティにまたがる幅広いセキュリティエンジニアリング活動を支援する
応募要件
- 情報セキュリティ、コンピューターサイエンス、または関連分野の学士号が望ましいが、同等の経験も考慮する
- アプリケーションセキュリティまたはセキュリティエンジニアリングの経験5年以上
- SAST と DAST、コード/シークレット/依存関係の検出結果のトリアージ、ランナーとワークフローの権限、サードパーティ製アクションのサプライチェーンリスクを含む、CI/CD パイプラインと GitHub Actions のセキュリティ確保に関する実務経験
- Terraform またはその他の Infrastructure as Code におけるセキュリティ設定不備の特定経験
- SIEM、EDR/XDR、DLP プラットフォームに関する実務知識（導入、チューニング、アラート調査を含む）
- ゼロトラストアーキテクチャと、アプリケーションセキュリティおよびIDアクセスへの適用に関する理解
- アプリケーションセキュリティに関わる HIPAA、HITECH、HITRUST 要件に関する深い知識
- API セキュリティの経験、特に他の医療システムとの連携に関する経験
- クラウド環境のセキュリティ確保に関する経験。Azure を優先し、AWS の経験があれば尚可
- インシデント対応のオンコールローテーションに参加できること
- GWAPT、OSWE、GPEN、Azure/AWS クラウドセキュリティ資格などが望ましい。CISSP または HCISPP は加点となるが、実務的なツール経験の代替にはならない
- HL7 または同等の医療データ標準に精通していることが望ましい
福利厚生
- 雇用主負担による医療、歯科、眼科、生命、障害補償
- 会社拠出のある退職金制度
- 年次の会社利益分配制度
- 自己啓発および専門研修の予算
- 協力的でオープンな職場文化
- 体系的な2週間のオンボーディングプログラム
- 充実したメンタリングプログラム