Ingeniero Líder de Seguridad de Aplicaciones

Descripción del trabajo Resumen La industria de los servicios financieros está continuamente dirigida por sofisticados ciberintendentes que van desde organizaciones delictivas a actores estatales nacionales. Raymond James se basa en el Cyber Threat Center (CTC) para identificar, evaluar y reducir el riesgo tecnológico en toda la empresa. El Ingeniero de Seguridad de la Aplicación Principal será un líder técnico práctico responsable de integrar la seguridad en el ciclo de vida del desarrollo de software, evaluar el riesgo de aplicación y API, y permitir que los equipos de desarrollo ofrezcan software resiliente a escala. Esta función combina la ingeniería de seguridad de aplicaciones, la evaluación de seguridad de software, el análisis de vulnerabilidad, prácticas de desarrollo de software seguras y la arquitectura de ciberseguridad. El ingeniero construirá y automatizará los controles de seguridad en los oleoductos CI/CD; realizará pruebas basadas en riesgos y modelos de amenazas; y aplicará de manera responsable técnicas con ayuda de IA para acelerar el descubrimiento, triage, validación y remediación de vulnerabilidad Job Descripción Esta posición sigue un modelo de trabajo híbrido, con una expectativa de estar en la oficina 3 días por semana en la ubicación de St. Petersburg, FL Corporate Office. Tenga en cuenta: Este papel no es elegible para el patrocinio de Visa de Trabajo, ya sea actualmente o en el futuro. Responsabilidades • Principales actividades de ingeniería de seguridad de aplicaciones a través de aplicaciones web, API, aplicaciones móviles, servicios nativas en la nube, contenedores y plataformas de soporte. • Incrustar controles de seguridad durante todo el ciclo de vida del desarrollo de software (SDLC), incluyendo requisitos, arquitectura, diseño, desarrollo, construcción, prueba, lanzamiento y monitoreo post-producción. • Diseñar, implementar, sintonizar y gobernar pruebas de seguridad automatizadas en tuberías CI/CD, incluyendo pruebas de seguridad de aplicaciones estáticas (SAST), pruebas de seguridad de aplicaciones dinámicas (DAST), pruebas de seguridad de aplicaciones interactivas (IAST), análisis de composición de software (SCA), detección de secretos, escaneado de infraestructura como código, digitalización de imágenes de contenedores, pruebas de seguridad de API y pruebas de aplicaciones móviles. • Desarrollar automatización reutilizable, integraciones y seguridad como código usando Python, PowerShell, JavaScript, scripting de shell, APIs, webhooks y plataformas de tuberías para reducir el esfuerzo manual y mejorar la cobertura de control. • Construir flujos de trabajo automatizados que normalicen, correlacionen, enriquezcan, deduplican, prioricen, ticket, route, retest y cierren los hallazgos de vulnerabilidad de aplicaciones en herramientas de seguridad y sistemas de ingeniería. • Análisis de vulnerabilidad de aplicaciones asistido por AI para resumir evidencia, identificar relaciones de código a vulnerabilidad, proponer casos de prueba, priorizar posibles rutas de explotación, explicar hallazgos a los desarrolladores y redactar guías de remediación. • Evaluar y gobernar las capacidades de seguridad asistidas por IA para la precisión, privacidad, manejo de datos, resistencia a la inyección rápida, riesgo de cadena de modelos y suministros, reproducibilidad, auditabilidad y supervisión humana; medir los resultados de calidad falso positivo, falso negativo y remediativo. • Realizar evaluaciones de la aplicación manuales y con ayuda de herramientas y de seguridad de API, validar la explotabilidad, eliminar falsos positivos, crear pruebas de prueba de contacto cuando sea apropiado, y proporcionar una guía de remediación clara y factible. • Lead application threat modeling and architecture risk reviews using practical methods such as abuse cases, data-flow analysis, trust-boundary analysis, and attack-path modeling. • Socio con ingenieros de software, arquitectos, propietarios de productos, equipos DevOps/platform, equipos en la nube y actores de riesgo para traducir los requisitos de seguridad en soluciones de ingeniería pragmáticas. • Desarrollar y mantener normas de codificación seguras, patrones de seguridad reutilizables, controles, implementaciones de referencia y materiales de habilitación para desarrolladores alineados con la orientación OWASP y prácticas industriales reconocidas. • Crear objetivos de nivel de servicios basados en el riesgo y modelos de priorización que tengan en cuenta la explotación, el alcance, la crítica empresarial, la sensibilidad de los datos, los controles compensatorios, la inteligencia de amenazas y la exposición. • Defina y reporte métricas significativas del programa, incluyendo cobertura, adopción de control, envejecimiento de vulnerabilidad, recurrencia, tasa de escape, tiempo medio para remediar, eficacia de automatización y reducción de riesgos. • Realizar análisis de causas profundas para las clases de vulnerabilidad recurrentes y impulsar la prevención sistémica mediante cambios marco, pavimentación de patrones, controles automatizados y educación específica. • Servir como un punto de escalada técnica para vulnerabilidades complejas de aplicaciones e incidentes importantes de ciberseguridad; participar en una rotación en línea según sea necesario. • Mentor aplicación ingenieros y desarrolladores de seguridad, contribuyen a la estrategia técnica y las hojas de ruta, y siguen siendo actuales con nuevas técnicas de ataque, tecnologías defensivas y riesgos de desarrollo de software habilitados para AI. Calificaciones Conocimiento, habilidades y habilidades: • Demonstrated expertise identifying, validating, explaining, and remediating application and API vulnerabilities, including vulnerability classes represented in the OWASP Top 10 and OWASP API Security Top 10. • Comprensión avanzada de autenticación, autorización, gestión de sesión, criptografía, manejo de entradas, deserialización, solicitud de servidor, abuso empresarial y superficies modernas de ataque cliente/servidor. • Experiencia de mano con SAST, DAST, IAST, SCA, pruebas de API, detección de secretos, escaneo de contenedores, escaneo de infraestructura como código y herramientas de prueba de penetración; capacidad para sintonizar controles y validar la producción de herramientas en lugar de depender únicamente de la gravedad del escáner. • Capacidad fuerte de automatización y de ingeniería de software en Python y al menos uno de PowerShell, JavaScript/TypeScript, Go, Java, C# o shell; experiencia que consume API REST/GraphQL, procesamiento de datos estructurados, pruebas de escritura y mantenimiento de código de calidad de producción. • Experiencia integrando herramientas de seguridad con plataformas de CI/CD e ingeniería como GitHub, GitLab, Azure DevOps, Jenkins, Jira o tecnologías comparables. • Experiencia demostrada aplicando herramientas de seguridad compatibles con IA o a máquina para revisar código fuente, triaje de vulnerabilidad, análisis de hazañas, generación de pruebas, soporte de remediación o encontrar correlación. • Capacidad para evaluar críticamente la producción de IA, reconocer alucinaciones y recomendaciones inseguras, proteger el código fuente sensible y los datos, diseñar la validación humana en el bucle y establecer controles de calidad y gobernanza mensurables. • Conocimiento de riesgos de desarrollo seguros con ayuda de inteligencia artificial, incluyendo inyección rápida, manejo de productos inseguros, agencia excesiva, divulgación de información sensible, problemas de cadena de suministro modelo o dependencia, y uso indebido del código generado. • Experiencia asegurando aplicaciones nativas en la nube en Microsoft Azure, Amazon Web Services y/o Google Cloud Platform, incluyendo identidad, secretos, cargas de trabajo, API, contenedores, servicios sin servidor y Kubernetes. • Conocimiento de modelado de amenazas, principios de arquitectura seguros, seguridad de la cadena de suministro de software, conceptos SBOM/VEX, integridad de artefactos, gobernanza de dependencia y prácticas de procedencia o certificación. • Capacidad para comunicar el riesgo técnico claramente a los desarrolladores, arquitectos, ejecutivos, auditores y actores no técnicos, y para traducir los hallazgos en acciones de ingeniería prioritarias. • Capacidad para liderar a través de la influencia, ejercer juicio sólido bajo incertidumbre, orientar a otros, y equilibrar los resultados de seguridad con las necesidades cliente y empresarial. Educación/Experiencia Anterior: • Típicamente requiere un título de licenciatura en informática, ingeniería de software, ciberseguridad, sistemas de información, o un campo relacionado y 5 o más años de experiencia relevante; puede considerarse una combinación equivalente de educación, formación y experiencia. • Típicamente requiere 3 o más años de seguridad de aplicaciones prácticas, seguridad del producto, pruebas de penetración, desarrollo de software seguro, o experiencia de evaluación de seguridad del software. • Experiencia demostrada desarrollando automatización de seguridad e integrando controles de seguridad de aplicaciones en flujos de trabajo CI/CD. • Experiencia práctica utilizando capacidades respaldadas por AI para el análisis de vulnerabilidad de aplicaciones, con evidencia de validación, gobernanza y mejora mensurable en los resultados de seguridad. • Se prefiere una o más de las siguientes certificaciones, o la posibilidad de obtener una certificación relevante dentro de un año: • GIAC Web Application Penetration Tester (GWAPT), GIAC Certified Web Application Defender (GWEB), o certificación de seguridad de aplicaciones comparables. • Experto en Internet de seguridad ofensiva (OSWE) o certificación de evaluación avanzada comparable. • certificación AWS, Microsoft Azure, Google Cloud, Kubernetes o DevSecOps relevante para el entorno asignado. Educación Licenciatura: Tecnología de la Información, Licenciatura (Requierida) Experiencia laboral Experiencia general - 6 a 10 años Certificaciones Viajes Estilo de trabajo híbrido La compensación total para esta posición incluye el salario base o los salarios, y puede incluir componentes tales como compensación adicional (cash o equidad), primas discrecionales o comisiones. Esta posición es elegible para un paquete de prestaciones que puede incluir médicos, dentales y visión; seguro de vida; seguro de enfermedad crítico y seguro de accidentes; prestaciones por discapacidad; ahorro de jubilación; tiempo libre pagado (incluyendo vacaciones, vacaciones y licencia de enfermedad); y licencia parental. Elegibilidad para beneficios y ofertas específicas puede variar según la posición y el estado de empleo. Para ver más detalles de los beneficios ofrecidos, visite Myrjbenefits.com. En Raymond James nuestros asociados utilizan cinco comportamientos guía (Develop, Collaborate, Decide, Entregar, Mejorar) para ofrecer los valores básicos de la firma de primera, integridad, independencia y una visión conservadora a largo plazo. Esperamos que nuestros asociados en todos los niveles: • Crecer profesionalmente e inspirar a otros a hacer lo mismo • Trabajar con y a través de otros para lograr los resultados deseados • Tomar decisiones rápidas, pragmáticas y actuar con el cliente en mente • Tomar la propiedad y responsabilizarse a sí mismos y a otros por dar resultados que importan • Contribuir a la evolución continua de la firma En Raymond James – como parte de nuestra cultura del pueblo, honramos, valoramos y respetamos la singularidad, las experiencias y los antecedentes de todos nuestros asociados. Cuando los asociados traen sus mejores seres auténticos, nuestra organización, clientes y comunidades prosperan. La Compañía es un empleador de igualdad de oportunidades y toma todas las decisiones de empleo sobre la base del mérito y las necesidades empresariales.