Nabla розробляє програмне забезпечення на основі фонового штучного інтелекту для сфери охорони здоров’я, щоб зменшити обсяг документації, яку ведуть медичні працівники. Асистент компанії інтегрується в клінічні робочі процеси та допомагає фахівцям витрачати менше часу на адміністративні завдання й більше — на пацієнтів. Платформою компанії користуються понад 50 000 медичних працівників у більш ніж 100 організаціях охорони здоров’я; за наявними даними, у середньому вона заощаджує до двох годин на день.
Старший інженер із безпеки застосунків
Захищайте медичну ШІ-платформу Nabla та клінічні дані, посилюючи безпеку застосунків, хмарний захист і практики безпечного використання ШІ-агентів.
Опис
- Консультуйте продуктові команди під час аналізу архітектури безпеки та моделювання загроз для функцій, зокрема щодо вибору методів автентифікації й авторизації, токенів і сеансів.
- Захищайте клієнти OAuth, одноразові коди, мультитенантне середовище для різних організацій, користувацькі кінцеві точки Core API та вбудовані SDK, що використовують postMessage.
- Виявляйте вразливості BOLA, IDOR та інші порушення контролю доступу.
- Перевіряйте й визначайте пріоритетність результатів SAST, SCA, сканерів секретів та інфраструктури як коду, а також аналізу коду за допомогою ШІ.
- Призначайте відповідальних за виявлені проблеми, встановлюйте SLA та скорочуйте чергу вразливостей залежностей.
- За потреби самостійно впроваджуйте виправлення безпеки.
- Захищайте функції ШІ та LLM, а також внутрішніх агентів від ін’єкцій промптів, надмірного доступу до інструментів чи дозволів, розкриття PHI, помилок знеособлення та витоку даних через модель або API.
- Плануйте й проводьте тестування на проникнення веб-, мобільних і внутрішніх адміністративних систем.
- Перевіряйте усунення вразливостей і ведіть програму розкриття інформації про вразливості.
- Запустіть програму винагород за виявлення вразливостей.
- Створюйте безпечні налаштування за замовчуванням, зокрема рекомендації з написання коду, захищені бібліотеки й шаблони, а також перевірки перед комітом і під час створення pull request.
Вимоги
- Маєте 5–8 і більше років досвіду в інженерії безпеки, зокрема 2–3 і більше років у безпеці застосунків або продуктів, або досвід розробки ПЗ із сильним фокусом на безпеку.
- Глибоко розумієте сучасну безпеку вебзастосунків та API, зокрема OAuth 2.0/OIDC, проєктування сеансів і токенів, мультитенантність, OWASP Top 10 і API Top 10.
- Виявляєте недоліки контролю доступу під час аналізу коду.
- Пишете й перевіряєте промисловий код переважно на Kotlin і Python, працюєте з веб-, мобільними та настільними клієнтами.
- Автоматизуєте завдання за допомогою Python.
- Маєте досвід проведення моделювання загроз і аналізу архітектури безпеки.
- Налаштовували й використовували SAST, SCA та сканування секретів у CI з ефективним процесом сортування й опрацювання результатів.
- Упевнено перемикаєтеся між аналізом архітектури API, посиленням безпеки ланцюжка постачання ПЗ та реагуванням на інциденти безпеки.
- Ефективно спілкуєтеся та співпрацюєте з командами розробки, комплаєнсу й ІТ.
- Вільно володієте французькою та англійською мовами на професійному рівні, усно й письмово.
Переваги
- Гібридний формат роботи з офісом у Парижі та можливістю працювати віддалено з території Франції.
- Можливість займатися спортом у робочий час щонайменше тричі на тиждень; серед варіантів — йога, біг, пілатес або HIIT.
- Регулярні командні виїзні зустрічі.
- Можливість відвідати колег у таких містах, як Нью-Йорк, Париж і Сан-Франциско.
- Інклюзивне та різноманітне робоче середовище.
- Можна відмовитися від запису співбесіди без впливу на розгляд кандидатури.