Gerente Sénior de Seguridad de Aplicaciones

• Al menos ocho años en seguridad de aplicaciones o ingeniería de software con enfoque en seguridad, incluyendo dos años liderando personas.
• Sólidas habilidades prácticas de revisión de código en TypeScript/JavaScript, Go o Solidity en extensiones de navegador, aplicaciones móviles y servicios backend, con la capacidad de identificar vulnerabilidades y trabajar con ingenieros para solucionarlas.
• Experiencia demostrada asegurando aplicaciones en clientes y servicios backend, incluyendo autenticación distribuida, autorización y gestión de claves.
• Experiencia construyendo o mejorando sustancialmente un programa de AppSec, incluyendo revisiones de seguridad, pruebas automatizadas, escaneo de IA, gestión de vulnerabilidades y soporte al desarrollador, con un juicio sólido sobre dónde la IA aporta valor y cómo validar sus hallazgos.
• Experiencia práctica asegurando cadenas de suministro de software, incluyendo políticas de dependencias, análisis de composición de software, npm, integridad de artefactos y CI/CD.
• Experiencia gestionando programas de bug bounty y penetration testing, incluyendo la selección y gestión de proveedores externos.
• Conocimiento práctico de la seguridad de smart contracts de EVM, incluyendo vulnerabilidades comunes, métodos de revisión, controles de actualización y administración, y la evaluación de auditorías externas.
• Un historial de entrega de mejoras de seguridad a través de equipos de ingeniería fuera de su línea directa de reporte.
• Comunicación escrita clara, desde modelos de amenazas accionables hasta resúmenes concisos de riesgo para ejecutivos.

• Certificaciones de seguridad ofensiva como OSCP, OSWE u OSWA, o un historial demostrado en programas de bug bounty o competiciones CTF.
• Experiencia asegurando extensiones de navegador o aplicaciones móviles.
• Experiencia asegurando flujos de trabajo de desarrollo que utilizan IA, o componentes de IA en aplicaciones en producción.
• Experiencia en crypto, Web3 u otro sector que enfrente ataques constantes, como fintech, pagos o infraestructura.
• Conocimiento o un fuerte interés en criptografía aplicada.
• Familiaridad con ataques de actores estatales contra empresas de software, particularmente campañas de la cadena de suministro de la RPDC y de ingeniería social.
• Experiencia proporcionando evidencia de controles de desarrollo seguro para evaluaciones SOC 2 o ISO 27001.

¿No cumples con todos los requisitos? No te preocupes. Nos apasiona construir un equipo humano diverso y, como tal, si crees que tienes lo necesario para nuestro entorno de startup, caótico pero divertido y compatible con el trabajo remoto, postúlate de todos modos, detallando tus habilidades transferibles relevantes en tu carta de presentación. Aunque tenemos una idea bastante clara de lo que necesitamos, estamos listos para que desafíes nuestra forma de pensar sobre quién debe ocupar este puesto.

En el espacio Web3, que evoluciona rápidamente, creemos que todo el mundo es un constructor. Este paradigma expansivo requiere una variedad de antecedentes, talentos, habilidades y experiencias para influir y dar forma al futuro. En MetaMask, esta diversidad alimenta nuestra capacidad para desplazar el control y redefinir el reino de lo posible. Estamos comprometidos a garantizar que nuestra tecnología empodere a las personas y las comunidades a través de tecnologías descentralizadas. Acogemos y celebramos la variedad de perspectivas y diferencias. Nos entusiasma ver cómo tus habilidades únicas como constructor pueden contribuir a nuestra visión, impulsar la innovación y ayudarnos a dar forma a una Web3 más inclusiva.

MetaMask es un empleador que ofrece igualdad de oportunidades. Todas las decisiones de empleo se toman sin distinción de raza, color, origen nacional, ascendencia, sexo, género, identidad o expresión de género, orientación sexual, edad, información genética, religión, discapacidad, condición médica, embarazo, estado civil, estado familiar, condición de veterano o cualquier otra característica protegida por la ley.

MetaMask es consciente de las prácticas de reclutamiento fraudulentas y animamos a todos los solicitantes a revisar nuestras mejores prácticas para protegerse, que pueden encontrarse en nuestra página.

MetaMask puede utilizar herramientas de inteligencia artificial (IA) para apoyar partes de nuestro proceso de selección, como la revisión de solicitudes, el filtrado de currículums o la realización de evaluaciones iniciales de candidatos. Estas herramientas están diseñadas para asistir a nuestro equipo de selección y mejorar la eficiencia; no sustituyen el juicio humano. Un reclutador o responsable de contratación humano revisa a cada candidato, y todas las decisiones finales de contratación las toman personas, no la IA.

Como requisito para el empleo en este puesto, es posible que se requiera que los solicitantes se sometan a comprobaciones de antecedentes e identidad, incluyendo, entre otras, comprobaciones de empleo, educación, antecedentes penales y otras comprobaciones que la empresa considere necesarias.

El dinero se está trasladando a internet, y este cambio tiene un nombre: Open Money. Es dinero abierto, portátil, con capacidad de agencia y que te pertenece. MetaMask ha pasado los últimos diez años construyéndolo; con más de 100 millones de descargas, usuarios en unos 190 países y billones en volumen de transacciones acumulado, es la plataforma financiera de autocustodia más confiable de internet. Ahora estamos construyendo el sistema operativo para tu dinero: un solo lugar para mantener, mover, hacer crecer y usar cualquier cosa que poseas. Únete a un equipo global con mentalidad "remote-first" que está reconstruyendo la forma en que funciona el dinero: un problema que afecta a todo el mundo, todos los días.

MetaMask es una wallet de autocustodia que no almacena las claves privadas de los usuarios. Las transacciones en blockchain son generalmente irreversibles, lo que significa que una vulnerabilidad en el producto o en su cadena de suministro de software puede derivar directamente en pérdidas financieras para los usuarios. Como resultado, MetaMask atrae la atención constante de atacantes con motivaciones financieras y actores sofisticados de la cadena de suministro.

Estamos buscando un Senior Manager, Application Security para liderar la seguridad de aplicaciones en la extensión de MetaMask, la aplicación móvil, Snaps, los servicios backend, los primitivos DeFi, las stablecoins y los smart contracts de soporte.

El rol abarca arquitectura, código, dependencias, controles de compilación y lanzamiento, pruebas de seguridad y divulgación de vulnerabilidades. Este es un puesto de liderazgo práctico (hands-on). Establecerás la estrategia y el modelo operativo, liderarás un pequeño equipo senior y permanecerás directamente involucrado en la revisión de código y el modelado de amenazas.

Reportarás al Head of Security y trabajarás estrechamente con el liderazgo de Ingeniería de MetaMask para asegurar que los riesgos de seguridad se comprendan, se asuman y se aborden.

• Liderar y desarrollar el equipo de Application Security, incluyendo la contratación, la gestión del desempeño y el desarrollo profesional, manteniendo al mismo tiempo una implicación directa en el trabajo técnico.
• Establecer la estrategia de Application Security, los objetivos anuales y los OKR trimestrales en línea con los objetivos de la empresa y el Target Operating Model aprobado. Definir y realizar el seguimiento de los KPIs para medir el rendimiento y el progreso.
• Informar sobre el progreso de AppSec, la cobertura, el rendimiento de la remediación y las brechas materiales al liderazgo de Seguridad, y contribuir a los informes del Comité de Riesgos.

• Definir los requisitos de revisión de seguridad en el desarrollo y el lanzamiento, evaluar si se cumplen y escalar los riesgos no resueltos.
• Liderar el modelado de amenazas y las revisiones de diseño de seguridad en clientes, APIs y servicios backend, incluyendo la autenticación, la gestión de claves, la firma y las acciones delegadas. Evaluar los límites de confianza en todo el sistema y participar en las revisiones de arquitectura y RFC.
• Definir los requisitos de seguridad de la cadena de suministro de software y trabajar con los equipos de ingeniería para implementar y validar los controles para dependencias, compilaciones, artefactos y publicación.
• Liderar las revisiones de seguridad de código en las aplicaciones de MetaMask y los smart contracts, trabajando con ingenieros y especialistas pertinentes para abordar los hallazgos.
• Definir y evolucionar el ciclo de vida de desarrollo seguro para incorporar agentes de IA, incluyendo sus requisitos de acceso, acciones y revisión humana. Establecer estándares de seguridad para herramientas de desarrollo de IA, código generado y componentes de IA en los productos.
• Integrar las pruebas de seguridad en los flujos de trabajo de desarrollo y entrega, incluyendo el análisis estático y dinámico, el escaneo de dependencias, la detección de secretos y el escaneo de IA. Evaluar herramientas y validar sus hallazgos.
• Ayudar a los ingenieros a prevenir vulnerabilidades recurrentes mediante orientación de codificación segura, librerías reutilizables, formación y el programa de security champions.

• Responsabilizarse de la evaluación de vulnerabilidades de aplicaciones, el triaje, la priorización y el seguimiento de la remediación dentro del marco de gestión de vulnerabilidades de la organización. Correlacionar hallazgos entre clientes, servicios e infraestructura de soporte con los responsables pertinentes para evaluar el impacto combinado. Asegurar que los hallazgos tengan responsables y plazos claros, verificar las correcciones y escalar los riesgos vencidos.
• Establecer el alcance y la inversión propuesta para bug bounty, penetration testing y escaneo de seguridad de IA basado en el riesgo y los resultados. Gestionar proveedores externos, la relación con investigadores, las recompensas y pagos, y coordinar la divulgación de vulnerabilidades.

• Proporcionar evidencia de los controles de seguridad de aplicaciones para auditorías y revisiones de garantía, y apoyar la debida diligencia de clientes y socios.
• Aportar experiencia en seguridad de aplicaciones durante incidentes, incluyendo el análisis de vulnerabilidades y el soporte de remediación.