Arquitecto de Soluciones (Armis/Veza)

• Requisitos Obligatorios

• Más de 7–10 años de experiencia en Seguridad de Aplicaciones, Seguridad de Producto o Ingeniería de Software Seguro.

• Experiencia demostrada en herramientas de SAST, DAST, SCA y gestión de dependencias (por ejemplo, Veracode, Checkmarx, Fortify, Snyk, SonarQube, OWASP Dependency-Check).

Habilidades preferidas

• Experiencia en una empresa de productos SaaS, nativos de la nube o de ciberseguridad.

• Experiencia práctica integrando AppSec en programas más amplios de VIPR o de gestión de exposición.

• Familiaridad con plataformas de seguridad en la nube y de contenedores (Prisma Cloud, Wiz, Orca).

• Experiencia con seguridad de IaC (Terraform, CloudFormation).

• Conocimientos de seguridad de API Gateway, OAuth2, autenticación basada en tokens y arquitecturas zero-trust.

• Certificaciones relevantes como OSWE, CSSLP, GWAPT, GWEB, CEH.

• Competencia práctica en codificación en al menos dos lenguajes modernos (Python, JavaScript/TypeScript, Java, Go).

• Sólida experiencia en la gestión de vulnerabilidades de extremo a extremo, incluyendo triaje, priorización, seguimiento de la remediación y validación.

• Comprensión profunda de los conceptos de OWASP Top 10, CWE, CVE y explotabilidad.

• Sólidos conocimientos de pipelines de CI/CD, flujos de trabajo basados en Git y automatización de compilación segura.

• Experiencia con modelado de amenazas, revisiones de arquitectura segura y seguridad de microservicios/API.

• Capacidad para comunicar claramente el riesgo técnico tanto a los equipos de ingeniería como a las partes interesadas del negocio.

Descripción del puesto

El "Expert, Application Security & VIPR" es un líder técnico práctico responsable de arquitectar, automatizar y mejorar continuamente la postura de seguridad de aplicaciones de Armis, garantizando al mismo tiempo que las vulnerabilidades de las aplicaciones estén totalmente integradas en el marco VIPR de Armis.

Este rol sirve de puente entre ingeniería, seguridad de producto y gestión de vulnerabilidades, definiendo cómo se identifican, priorizan, contextualizan y remedian los riesgos de las aplicaciones en las plataformas SaaS y on-prem de Armis. Te asegurarás de que los hallazgos de AppSec no queden aislados, sino que se correlacionen con la inteligencia de activos, la explotabilidad, la exposición y el impacto empresarial.

Responsabilidades clave

Liderazgo en Seguridad de Aplicaciones

• Liderar el programa de Seguridad de Aplicaciones en todos los productos de Armis, integrando la seguridad en todo el SDLC.

• Realizar revisiones de arquitectura y diseño seguro, colaborando con los equipos de ingeniería para identificar y mitigar riesgos de forma temprana.

• Dirigir y liderar sesiones de modelado de amenazas utilizando las metodologías STRIDE, DREAD o PASTA.

Integración de VMDR y Ciclo de Vida de Vulnerabilidades

• Responsabilizarse de la gestión de vulnerabilidades en la capa de aplicación como parte de la estrategia VIPR de Armis, desde la detección hasta la remediación y validación.

• Integrar los hallazgos de AppSec (SAST, DAST, SCA, pruebas de API) en flujos de trabajo de vulnerabilidades centralizados, modelos de puntuación de riesgos y de priorización.

• Correlacionar las vulnerabilidades de las aplicaciones con el contexto de los activos, la inteligencia de explotación y la criticidad del negocio para impulsar una remediación basada en el riesgo.

• Realizar el seguimiento y reportar métricas de VMDR como MTTD, MTTR, ventanas de exposición y eficacia de la remediación para las vulnerabilidades de las aplicaciones.

Automatización y Herramientas

• Crear y mantener pipelines automatizados de AppSec para pruebas de seguridad SAST, DAST, SCA y de API.

• Colaborar con DevOps para integrar el escaneo de seguridad en los pipelines de CI/CD (GitHub Actions, Jenkins, Buildkite).

• Colaborar con Seguridad en la Nube e Infraestructura para asegurar las APIs, los microservicios y las cargas de trabajo en contenedores (Docker, Kubernetes).

Colaboración y Capacitación en Ingeniería

• Desarrollar y mantener estándares de codificación segura y líneas base de seguridad para React, Node.js, Python, Java y Go.

• Mentorear a ingenieros y "security champions"; impartir formación en codificación segura y talleres de modelado de amenazas.

• Actuar como asesor de confianza para el liderazgo de ingeniería, traduciendo las vulnerabilidades en una orientación clara sobre riesgos y remediación.

Cumplimiento y Garantía

• Apoyar el cumplimiento y la preparación para auditorías, incluyendo SOC 2, ISO 27001, FedRAMP e HIPAA, asegurando que los riesgos de las aplicaciones estén documentados y gestionados dentro de los procesos de VIPR  /AppSec.

Ubicación: España (Requerido)

Abordamos nuestro mundo laboral distribuido con flexibilidad y confianza. Las "work personas" (flexible, remoto o presencial requerido) son categorías asignadas a los empleados de ServiceNow según la naturaleza de su trabajo y su ubicación de trabajo asignada. Más información aquí. Para determinar la elegibilidad para una "work persona", ServiceNow puede confirmar la distancia entre su residencia principal y la oficina de ServiceNow más cercana utilizando un servicio de terceros.