TherapyNotes, LLC разрабатывает программное обеспечение для управления практикой специалистов в сфере психического здоровья, включая психологов, психотерапевтов, психиатров и социальных работников. Интегрированная платформа объединяет инструменты для планирования встреч, телемедицины, электронных медицинских карт, выставления счетов и клиентского портала, помогая психиатрическим и психотерапевтическим практикам управлять клиническими и административными задачами в одной защищённой системе. Компания сочетает поддержку клиентов с постоянным развитием продукта, учитывая отзывы специалистов, которые используют её программное обеспечение.
Инженер по кибербезопасности, безопасность приложений (удалённо из Пенсильвании)
Обеспечивать безопасность SaaS-приложений TherapyNotes для поведенческого здоровья на всех этапах жизненного цикла разработки и в CI/CD-пайплайнах. Руководить управлением уязвимостями, безопасностью облачной инфраструктуры и обеспечением соответствия требованиям в сфере здравоохранения.
Описание
- Руководить безопасностью приложений на всех этапах жизненного цикла разработки ПО и в CI/CD-пайплайне
- Работать с командами разработки над внедрением практик безопасности во все процессы SDLC и CI/CD
- Применять стандарты и практики безопасного программирования, защищающие конфиденциальность, целостность и доступность данных клиентов
- Проводить оценки безопасности, ревью кода и моделирование угроз
- Управлять GitHub Advanced Security и расследовать результаты сканирования кода, секретов и зависимостей
- Анализировать повторяющиеся тенденции уязвимостей и предлагать подходы к устранению проблем на уровне всей организации
- Расширять охват сканирования, совершенствуя конфигурации и процессы безопасности
- Защищать CI/CD-пайплайны и GitHub Actions за счёт безопасности идентификационных данных, раннеров, разрешений и секретов
- Снижать риски цепочки поставок программного обеспечения посредством проверки actions, контроля зависимостей, фиксации версий actions и подтверждения происхождения артефактов
- Оценивать Terraform и другие средства инфраструктуры как кода на наличие уязвимостей
- Работать с командами ИТ-платформы над развитием сканирования IaC и безопасных практик развёртывания
- Сопоставлять средства защиты приложений с требованиями HIPAA, HITRUST и HITECH и помогать в проведении регулярных аудитов
- Взаимодействовать с разработчиками для устранения уязвимостей посредством эффективного исправления или снижения рисков
- Создавать, внедрять и поддерживать решения SAST, DAST и управления уязвимостями
- Помогать в реагировании на инциденты безопасности приложений, анализе первопричин и планировании устранения проблем
- Помогать проводить инициативы по повышению осведомлённости о безопасном программировании для команд разработки
- Поддерживать более широкий спектр задач по инженерии безопасности, включая управление уязвимостями, реагирование на инциденты и безопасность идентификации и управления доступом
Требования
- Предпочтительно высшее образование в области информационной безопасности, компьютерных наук или смежной дисциплины; также может учитываться эквивалентный опыт
- Не менее пяти лет опыта в сфере безопасности приложений или инженерии безопасности
- Практический опыт защиты CI/CD-пайплайнов и GitHub Actions, включая SAST и DAST, анализ результатов сканирования кода, секретов и зависимостей, разрешения раннеров и рабочих процессов, а также риски цепочки поставок сторонних actions
- Опыт выявления неправильных конфигураций безопасности в Terraform или других средствах инфраструктуры как кода
- Рабочие знания платформ SIEM, EDR/XDR и DLP, включая внедрение, настройку и расследование оповещений
- Понимание архитектуры Zero Trust и её применения к безопасности приложений, а также к идентификации и управлению доступом
- Глубокое знание требований HIPAA, HITECH и HITRUST, влияющих на безопасность приложений
- Опыт обеспечения безопасности API, особенно интеграций с другими системами здравоохранения
- Предыдущий опыт защиты облачных сред; предпочтителен Azure, знание AWS будет преимуществом
- Готовность участвовать в дежурствах по реагированию на инциденты
- Желательны сертификаты GWAPT, OSWE, GPEN или сертификаты по безопасности облачных сред Azure/AWS; CISSP или HCISPP будут преимуществом, но не заменяют практический опыт работы с инструментами
- Предпочтительно знакомство с HL7 или сопоставимыми стандартами медицинских данных
Преимущества
- Медицинская, стоматологическая страховка, страхование зрения, жизни и нетрудоспособности за счёт работодателя
- Пенсионный план с взносом компании
- Ежегодная программа участия компании в прибыли
- Бюджет на личное развитие и профессиональное обучение
- Сотрудничающая и открытая рабочая культура
- Структурированная двухнедельная программа адаптации
- Комплексная программа наставничества