网络安全工程师，应用安全（宾夕法尼亚州远程）
在整个软件开发生命周期和 CI/CD 流程中保护 TherapyNotes 的行为健康 SaaS 应用。负责漏洞管理、云安全和医疗保健合规工作。
描述
- 负责整个软件开发生命周期和 CI/CD 流程中的应用安全
- 与开发团队合作，将安全实践融入整个 SDLC 和 CI/CD 工作流
- 应用安全编码标准和实践，保障客户数据的机密性、完整性和可用性
- 开展安全评估、代码审查和威胁建模
- 管理 GitHub Advanced Security，调查代码、机密信息和依赖项扫描结果
- 分析反复出现的漏洞趋势，并提出组织范围的修复方案
- 扩大扫描覆盖范围，同时完善安全配置和工作流
- 通过保护身份、运行器、权限和机密信息，保障 CI/CD 流程和 GitHub Actions 的安全
- 通过审查操作、控制依赖项、固定操作版本和确保制品来源可追溯性，降低软件供应链暴露风险
- 评估 Terraform 和其他基础设施即代码中的安全弱点
- 与 IT 平台团队合作，推进 IaC 扫描和安全部署实践
- 将应用安全控制映射到 HIPAA、HITRUST 和 HITECH 要求，并协助开展定期审计
- 与开发人员合作，通过有效修补或缓解措施解决漏洞
- 构建、部署和维护 SAST、DAST 及漏洞管理解决方案
- 协助开展应用安全事件响应、根因分析和修复规划
- 协助为开发团队开展安全编码意识培训
- 支持涵盖漏洞管理、事件响应以及身份和访问安全的更广泛安全工程工作
任职要求
- 优先考虑信息安全、计算机科学或相关专业的学士学位，但也可考虑具备同等经验的候选人
- 至少五年应用安全或安全工程经验
- 具备保护 CI/CD 流程和 GitHub Actions 的实践经验，包括 SAST 和 DAST、代码/机密信息/依赖项结果分类、运行器和工作流权限，以及第三方操作的供应链风险
- 具备识别 Terraform 或其他基础设施即代码安全配置错误的经验
- 熟悉 SIEM、EDR/XDR 和 DLP 平台，包括部署、调优和告警调查
- 了解零信任架构及其在应用安全和身份访问中的应用
- 深入了解影响应用安全的 HIPAA、HITECH 和 HITRUST 要求
- 具备 API 安全经验，尤其是涉及其他医疗保健系统的集成经验
- 具备保护云环境的经验；优先考虑 Azure，熟悉 AWS 者更佳
- 能够参与事件响应轮值待命
- 拥有 GWAPT、OSWE、GPEN 或 Azure/AWS 云安全认证者优先；CISSP 或 HCISPP 认证可加分，但不能替代实际工具使用经验
- 优先熟悉 HL7 或同类医疗保健数据标准
福利待遇
- 雇主承担的医疗、牙科、视力、人寿和伤残保险
- 包含公司缴款的退休计划
- 年度公司利润分享计划
- 个人发展和专业培训预算
- 协作开放的工作文化
- 结构化的两周入职培训
- 完善的导师计划