網路安全工程師，應用程式安全（賓夕法尼亞州遠端）
在整個軟體開發生命週期與 CI/CD 流程中保護 TherapyNotes 的行為健康 SaaS 應用程式。主導漏洞管理、雲端安全與醫療保健合規工作。
說明
- 負責整個軟體開發生命週期與 CI/CD 流程中的應用程式安全
- 與開發團隊合作，將安全實務融入整個 SDLC 與 CI/CD 工作流程
- 應用安全編碼標準與實務，保障客戶資料的機密性、完整性與可用性
- 進行安全評估、程式碼審查與威脅建模
- 管理 GitHub Advanced Security，調查程式碼、機密資訊與相依性掃描結果
- 分析反覆出現的漏洞趨勢，並提出全組織的修復方案
- 擴大掃描涵蓋範圍，同時完善安全設定與工作流程
- 透過保護身分、執行器、權限與機密資訊，保障 CI/CD 流程與 GitHub Actions 的安全
- 透過審查動作、控制相依性、固定動作版本及確保成品來源可追溯性，降低軟體供應鏈暴露風險
- 評估 Terraform 與其他基礎架構即程式碼中的安全弱點
- 與 IT 平台團隊合作，推進 IaC 掃描與安全部署實務
- 將應用程式安全控制對應至 HIPAA、HITRUST 與 HITECH 要求，並協助定期稽核
- 與開發人員合作，透過有效修補或緩解措施解決漏洞
- 建立、部署與維護 SAST、DAST 及漏洞管理解決方案
- 協助進行應用程式安全事件回應、根本原因分析與修復規劃
- 協助為開發團隊推動安全編碼意識計畫
- 支援涵蓋漏洞管理、事件回應以及身分與存取安全的更廣泛安全工程工作
職位要求
- 優先考慮資訊安全、電腦科學或相關領域的學士學位，但具備同等經驗者亦可考慮
- 至少五年應用程式安全或安全工程經驗
- 具備保護 CI/CD 流程與 GitHub Actions 的實務經驗，包括 SAST 與 DAST、程式碼/機密資訊/相依性結果分類、執行器與工作流程權限，以及第三方動作的供應鏈風險
- 具備識別 Terraform 或其他基礎架構即程式碼安全設定錯誤的經驗
- 熟悉 SIEM、EDR/XDR 與 DLP 平台，包括部署、調校與警示調查
- 了解零信任架構及其在應用程式安全與身分存取中的應用
- 深入了解影響應用程式安全的 HIPAA、HITECH 與 HITRUST 要求
- 具備 API 安全經驗，尤其是涉及其他醫療保健系統的整合經驗
- 具備保護雲端環境的經驗；熟悉 Azure 者優先，具備 AWS 經驗者更佳
- 能夠參與事件回應輪值待命
- 具備 GWAPT、OSWE、GPEN 或 Azure/AWS 雲端安全認證者優先；CISSP 或 HCISPP 認證是加分項，但不能取代實際工具使用經驗
- 優先熟悉 HL7 或同類醫療保健資料標準
福利待遇
- 雇主提供的醫療、牙科、視力、人壽與傷殘保險
- 包含公司提撥的退休計畫
- 年度公司利潤分享計畫
- 個人發展與專業培訓預算
- 協作且開放的職場文化
- 結構化的兩週入職培訓計畫
- 完整的導師制度