Nabla разрабатывает программное обеспечение на основе фонового искусственного интеллекта для здравоохранения, призванное сократить объём документации, которую ведут медицинские специалисты. Ассистент компании интегрируется в клинические рабочие процессы, помогая врачам тратить меньше времени на административные задачи и больше — на пациентов. Платформой компании пользуются более 50 000 медицинских специалистов в свыше 100 организациях здравоохранения; по имеющимся данным, в среднем она экономит до двух часов в день.
Старший инженер по безопасности приложений
Защищайте медицинскую ИИ-платформу Nabla и клинические данные, укрепляя безопасность приложений, облачную защиту и практики безопасного использования ИИ-агентов.
Описание
- Консультируйте продуктовые команды при анализе архитектуры безопасности и моделировании угроз для функций, включая выбор методов аутентификации и авторизации, токенов и сессий.
- Защищайте OAuth-клиенты, одноразовые коды, многопользовательскую среду для разных организаций, пользовательские конечные точки Core API и встроенные SDK, использующие postMessage.
- Выявляйте уязвимости BOLA, IDOR и другие нарушения контроля доступа.
- Проверяйте и приоритизируйте результаты SAST, SCA, сканеров секретов и инфраструктуры как кода, а также анализа кода с помощью ИИ.
- Назначайте ответственных за найденные проблемы, устанавливайте SLA и сокращайте очередь уязвимостей зависимостей.
- При необходимости самостоятельно внедряйте исправления безопасности.
- Защищайте функции ИИ и LLM, а также внутренних агентов от внедрения промптов, чрезмерного доступа к инструментам или разрешениям, раскрытия PHI, ошибок обезличивания и утечки данных через модель или API.
- Планируйте и проводите тестирование на проникновение веб-, мобильных и внутренних административных систем.
- Проверяйте устранение уязвимостей и ведите программу раскрытия информации об уязвимостях.
- Запустите программу вознаграждений за обнаружение уязвимостей.
- Создавайте безопасные настройки по умолчанию, включая рекомендации по написанию кода, защищённые библиотеки и шаблоны, а также проверки перед коммитом и при создании pull request.
Требования
- Имеете 5–8 и более лет опыта в инженерии безопасности, включая 2–3 и более лет в безопасности приложений или продуктов, либо опыт разработки ПО с сильным фокусом на безопасность.
- Глубоко разбираетесь в современной безопасности веб-приложений и API, включая OAuth 2.0/OIDC, проектирование сессий и токенов, мультитенантность, OWASP Top 10 и API Top 10.
- Выявляете недостатки контроля доступа при анализе кода.
- Пишете и проверяете промышленный код преимущественно на Kotlin и Python, работаете с веб-, мобильными и настольными клиентами.
- Автоматизируете задачи с помощью Python.
- Имеете опыт проведения моделирования угроз и анализа архитектуры безопасности.
- Настраивали и использовали SAST, SCA и сканирование секретов в CI с эффективным процессом сортировки и обработки результатов.
- Уверенно переключаетесь между анализом архитектуры API, укреплением безопасности цепочки поставок ПО и реагированием на инциденты безопасности.
- Эффективно общаетесь и сотрудничаете с командами разработки, комплаенса и ИТ.
- Свободно владеете французским и английским языками на профессиональном уровне, устно и письменно.
Преимущества
- Гибридный формат работы с офисом в Париже и возможностью удалённой работы из Франции.
- Возможность заниматься спортом в рабочее время не реже трёх раз в неделю; среди вариантов — йога, бег, пилатес или HIIT.
- Регулярные выездные встречи команды.
- Возможность навещать коллег в таких городах, как Нью-Йорк, Париж и Сан-Франциско.
- Инклюзивная и разнообразная рабочая среда.
- Можно отказаться от записи собеседования без влияния на рассмотрение кандидатуры.