安全架构师，Web 与云应用——Allwyn UK，沃灵顿混合办公
为 Allwyn UK 的国家彩票 Web、移动端、API 和云平台规划安全架构。 负责威胁建模、安全设计、应用测试和 DevSecOps 落地。
描述
- 支持移动端和 Web 项目的安全架构工作，覆盖探索、设计、交付、测试、发布和线上运营
- 与架构师、工程师、产品团队、交付负责人及外部合作伙伴协作，将安全融入交付，同时平衡速度、成本、可用性和质量
- 创建并维护详细的安全设计、要求、架构决策、可复用模式和保障文档
- 使用 STRIDE 等方法主导应用威胁建模，记录威胁、攻击路径、信任边界、缓解措施和剩余风险
- 评估 Web 和移动应用、API、微服务、身份流程、云服务及第三方集成
- 制定涵盖身份验证、授权、会话、密钥、密码学、数据保护、API 安全、日志记录、监控、韧性和安全配置的安全要求
- 使用 OWASP Top 10、ASVS、MASVS 和安全设计实践指导架构决策
- 为交付团队提供安全 Web 和移动应用设计方面的建议
- 规划涵盖 SAST、DAST、SCA、密钥检测、API 测试、移动端测试、IAST 和渗透测试的应用安全测试方案
- 帮助将安全控制和自动化检查融入 CI/CD 流水线，包括质量门禁和例外流程
- 评估安全发现，质疑误报，确定修复优先级，并帮助团队实施切实可行的修复方案
- 定义渗透测试范围和安全测试计划，协调评估并审查修复结果
- 沟通安全风险、控制缺陷和合规问题，使责任人能够作出知情的风险决策
- 开发可复用的安全模式、标准、防护规则和参考架构
- 指导工程和架构社区开展安全设计、威胁建模和安全开发
任职要求
- 拥有丰富的企业级应用安全架构、产品安全或安全工程经验
- 具备现代 Web 应用、移动应用和 API 安全设计背景
- 深入理解常见的 Web、移动端和 API 威胁及应对控制措施
- 具备实践性威胁建模经验，能够将发现转化为清晰、可追踪的安全要求
- 扎实掌握安全软件开发生命周期、DevSecOps、敏捷交付和 CI/CD 安全
- 具备规划和解读应用安全测试的经验，涵盖 SAST、DAST、SCA、API、移动端和渗透测试
- 了解应用身份和访问管理，包括身份验证、授权、联合身份、令牌和会话保护
- 了解涉及容器、无服务器服务和微服务的云原生环境
- 具备绘制数据流并为敏感信息建立保护措施的经验
- 具备清晰的书面和口头沟通能力，能够提供务实、基于风险的指导
- 了解 HTTP/S、浏览器控制、CORS、CSP、REST 和 GraphQL 等 Web 与 API 安全主题
- 了解 iOS 和 Android 安全，包括安全存储、权限、深层链接、传输保护和应用完整性
- 具备使用 Burp Suite、OWASP ZAP、Snyk、SonarQube 或同类产品等应用安全工具的经验
- 掌握一种广泛使用的编程或脚本语言
- 了解面向客户应用的安全日志记录、监控和事件响应
- 了解 OWASP、NIST、ISO 27001、CIS 和 PCI DSS 标准及框架
- 具备在受监管环境中保护高流量数字服务的经验者优先
- 了解应用商店发布、移动端证明、应用加固或运行时保护者优先
- 熟悉容器安全、Kubernetes、基础设施即代码或策略即代码者优先
- 具备创建应用安全模式、标准或开发者赋能计划的经验者优先
- 拥有 CISSP、CSSLP、SABSA、CREST 或 OSWE 等相关认证者优先
- 具备彩票、博彩、支付、零售、金融或其他受监管行业经验者优先
福利待遇
- 公司奖金计划
- 养老金缴费最高匹配至 8.5%
- 26 天年假，另加 2 天 Life Days 和法定节假日
- 单人私人医疗保险
- 免费私人医疗保障
- 收入保障
- 灵活福利，包括电动车计划、财务辅导、遗嘱撰写、抵押贷款咨询、牙科护理和眼科护理
- 强化版产假、陪产假和收养假
- 500 英镑健康津贴
- 员工援助计划
- 折扣健康评估
- 志愿服务日
- 配套捐赠
- 符合基本条件的残障申请者可获得面试机会
- 申请过程中提供协助和合理便利