Paylocity DevSecOps 经理（美国远程）
负责 Paylocity 云端人力资源与薪资平台的软件安全工程。 规划应用安全、可靠的 CI/CD 工作流和可信的软件供应链。
描述
- 领导并指导 DevSecOps 团队。
- 制定应用安全和软件供应链安全战略。
- 通过威胁建模、架构与设计评审、可复用的安全模式以及面向开发人员的实用指导，推动安全设计理念融入工程实践。
- 统一采用可信的精简容器镜像和安全基础组件，并在适当情况下采用 Chainguard 等技术。
- 构建软件来源追溯和制品完整性控制，包括 SBOM、签名、证明，以及构建和部署工作流中的验证机制。
- 将自动化安全检查和策略防护集成到 CI/CD 和开发人员工作流中。
- 通过可复用工作流、最小权限访问、可信依赖项和安全身份验证，在整个组织范围内强化 GitHub Actions。
- 与工程和平台团队合作，减少可被利用的漏洞和供应链风险敞口。
- 制定衡量指标，评估安全开发实践的采用情况、供应链完整性、漏洞减少情况和控制措施的有效性。
- 评估新兴的应用安全和软件供应链技术。
- 将安全战略转化为可扩展的工程成果。
- 需要使用电脑和电话，并能在坐姿下长时间打字。
任职要求
- 至少五年应用安全、DevSecOps、产品安全、软件安全或相关信息安全领域的工作经验。
- 至少两年人员管理经验。
- 具备领导技术团队或安全工程项目的经验。
- 深入理解安全软件开发、安全设计实践、威胁建模、基于风险的漏洞管理以及 NIST 安全软件开发框架（SSDF）。
- 具备在 CI/CD 流水线和现代软件交付工作流中实施安全控制的实操经验。
- 优先考虑具备大规模保障 GitHub Actions 安全经验者。
- 具备领导变革项目的经验，项目涉及软件交付、CI/CD 平台、开发人员工作流或安全控制。
- 具备软件供应链安全经验，包括强化容器镜像、SBOM、制品签名、证明、来源追溯和依赖项风险管理。
- 了解应用安全测试和自动化，包括 SAST、SCA、机密信息检测及相关工具。
- 具备云、SaaS、容器化以及敏捷或 DevOps 工程环境的工作经验。
- 具备出色的沟通和领导能力。
- 能够每天在办公桌或工作站前坐 7 至 8 小时。
- 能够使用计算机和电话系统并进行打字。
- 必须能够在指定工作时间内每周工作五天。
- 必须在美国境内工作。
福利待遇
- 医疗保险
- 牙科保险
- 视力保险
- 人寿保险
- 残疾保险
- 401(k) 雇主配比缴款
- 职业发展机会
- 年度奖金
- 根据个人绩效授予的限制性股票单位
- 全面的福利方案
- 完全远程办公，可在家中或员工登记的美国所在地工作
