Termékbiztonsági mérnök

Stack

Feladatok

• ▹Fenyegetésmodellezés és tervellenőrzés együttműködésben a mérnöki és termékcsapatokkal új és meglévő funkciókhoz
• ▹Biztonságos kódellenőrzés és biztonsági felmérések a Next.js, Node.js és szerver nélküli backend alapú termékeken
• ▹A nyílt forráskódú biztonság felügyelete: harmadik féltől származó csomagok sérülékenységeinek kezelése és a saját nyílt forráskódú projektek (pl. Next.js) biztonságának fenntartása
• ▹SDLC-eszközök kiválasztása, bevezetése és automatizálása (pl. GitHub Advanced Security, statikus elemzés, függőség-szkennelés, titok-detektálás) a CI/CD folyamatokba
• ▹A bug bounty program tulajdonosa és fejlesztése: bejelentések triázsa, validálása, javítások koordinálása, kutatóbarát program kialakítása
• ▹Több csapatot érintő biztonsági kezdeményezések vezetése, biztonsági bajnoki szerep az egész szervezetben
• ▹Ügyfélközpontú biztonsági támogatás: dokumentáció, kérdőívek, auditok, biztonsági funkciók kommunikálása

Elvárások

• ▹5+ év tapasztalat termékbiztonsági vagy kapcsolódó szerepkörben, webes termékek és szolgáltatások védelmében
• ▹Erős JavaScript/TypeScript és Node.js futásidejű biztonsági ismeretek, modern webes keretrendszerek (Next.js, React) biztonsági szempontjainak értése
• ▹Bizonyított fenyegetésmodellezési és architekturális kockázatelemzési tapasztalat, SDLC-be illesztett biztonság gyors fejlesztési tempó mellett
• ▹Gyakorlati tapasztalat SAST/DAST eszközökkel, függőség-sérülékenység szkennerekkel és CI/CD biztonsági integrációval
• ▹Nyílt forráskódú és ellátási lánc biztonsági ismeretek (pl. Dependabot, Snyk)
• ▹Tapasztalat bug bounty program futtatásában vagy sérülékenység-bejelentési folyamatban, naprakész OWASP Top 10 ismeretek
• ▹Felhő- és szerver nélküli architektúrák biztonsági megértése
• ▹Bizonyított képesség biztonsági kezdeményezések vezetésére és mérnöki csapatok befolyásolására

Előny

• ▹Korábbi szoftverfejlesztői tapasztalat biztonságon kívül (frontend vagy backend)
• ▹Releváns tanúsítványok: OSCP, OSWE, CISSP, vagy elismert bug bounty eredmények
• ▹Tapasztalat policy-as-code vagy infrastruktúra-mint-kód biztonsággal (pl. Open Policy Agent, Terraform biztonsági ellenőrzések)
• ▹Biztonsági funkciók (hitelesítés, titkosítás, biztonságos CI/CD) fejlesztése vagy biztonsági közösségi projektekben való részvétel

Soft skillek

A munkáltatóról

A Vercel az „agentic infrastructure” vállalat: a Next.js, a v0 és az AI SDK készítője, olyan ügyfelekkel mint az OpenAI, a PayPal, a Ramp vagy a Supreme, világszerte milliónyi fejlesztő számára.