Ingeniero de Seguridad de Aplicaciones Sénior

• 28 días de vacaciones, más festivos oficiales
• Vales de Treatwell de 40 € mensuales para que tú también puedas darte un capricho
• Apoyo a la salud mental a través de nuestra asociación con Open-Up
• Beneficios específicos del mercado que se discutirán durante el proceso de entrevista

Senior Application Security Engineer
Estamos contratando a un Senior Application Security Engineer para liderar la seguridad de las aplicaciones en todo Product Engineering y lograr que los productos de Treatwell sean seguros por defecto. Te encargarás de las herramientas de seguridad, desde el SAST en los pipelines hasta DefectDojo; serás la primera llamada cuando un incidente en la capa de aplicación requiera un ingeniero de seguridad, y trabajarás de forma práctica con los equipos que construyen nuestros productos: haciendo pairing con sus ingenieros para solucionar lo que encuentran los escáneres, el pentest anual y los incidentes reales, cerrando las brechas de diseño que los originan y, en ocasiones, asumiendo un epic de seguridad específico para un producto como Connect o Salonized. Cada vez, el equipo acabará siendo capaz de realizar el siguiente sin ti.

Este es un rol práctico. Escribirás código, leerás mucho más y serás el responsable de las herramientas de seguridad en nuestros pipelines. Nuestras aplicaciones son Java y Spring Boot en Marketplace y Payments, Ruby on Rails en nuestros productos SaaS, React y TypeScript en la web, apps nativas de iOS y Android en Swift y Kotlin, y una pequeña cantidad de PHP. Marketplace y Connect se despliegan a través de GitLab CI y ArgoCD en Kubernetes (EKS) en AWS; Salonized se despliega a través de GitHub Actions. Todo se monitoriza en Datadog, y los hallazgos de la detección de secretos, el escaneo de dependencias y el SAST fluyen hacia un DefectDojo auto-alojado.

Esto es seguridad de aplicaciones, no seguridad de infraestructura: los controles de nube, Kubernetes y red corresponden a nuestros equipos de Developer Experience y Platform Core, y tú trabajarás junto a ellos. Reportarás al Head of Developer Experience y establecerás tu propia hoja de ruta de seguridad con los Heads of Engineering, alineada con el OWASP ASVS y el OWASP DevSecOps Maturity Model. No tenemos CISO: presentarás la postura de seguridad al CTO y al VP of Engineering con una cadencia fija, y tu visión tendrá peso porque proviene del código.
Cómo trabajarás

• Transversal por defecto. Las herramientas de seguridad, el pipeline de hallazgos y el soporte de incidentes en la capa de aplicación son tuyos en todo Product Engineering. Cuando un producto necesite un trabajo enfocado, como un epic de seguridad para Connect o Salonized, lo asumirás con ese equipo, de acuerdo con su Head of Engineering. La seguridad de la infraestructura permanece en Developer Experience y Platform Core.
• Solucionar con el equipo, no para el equipo. Harás pairing en la remediación y los ingenieros del equipo realizarán el merge de la solución, para que el conocimiento permanezca donde reside el código.
• Guías en lugar de barreras. El estándar es un camino seguro que es más rápido de usar que de evitar: librerías compartidas, plantillas de pipeline, comprobaciones de pre-commit. El bloqueo se reserva para hallazgos críticos en código nuevo y se acuerda con el área.
• Una única cola. Los hallazgos llegan a DefectDojo y pasan al backlog del equipo o a Now/Next como cualquier otro trabajo. No existe un proceso de seguridad paralelo.
• A través de los champions. Trabajarás con el Security Champion de cada equipo y con el gremio de Security Champions. En dieciocho meses, un modelo de amenazas o un incidente no debería requerir tu presencia en la sala.
• Tu propia hoja de ruta. Mantendrás un Now/Next/Later breve para seguridad, acordado cada trimestre con los Heads of Engineering, independiente de la hoja de ruta de DevX.
• Postura, no papeleo. Presentarás la postura de seguridad por área al CTO y al VP of Engineering con una cadencia fija, medida frente al DevSecOps Maturity Model.
• Liderar la seguridad de aplicaciones en todo Product Engineering y trabajar de forma práctica con los equipos para remediar vulnerabilidades en nuestras bases de código, desde la autenticación y el manejo de sesiones hasta los flujos de pagos y APIs públicas, incluyendo epics de seguridad específicos para productos como Connect o Salonized.
• Responsabilizarte de las herramientas de seguridad en todas las áreas (detección de secretos, escaneo de dependencias, SAST, DefectDojo, modelado de amenazas) e implementar el SAST en nuestros pipelines: completar la prueba de concepto con los proveedores de SAST que estamos evaluando en dos equipos piloto, el equipo de Marketplace Checkout e Identity y un equipo de SaaS, ajustando las reglas hasta que los ingenieros confíen en el resultado, y alimentar cada hallazgo en DefectDojo en lugar de en un nuevo dashboard.
• Hacer que DefectDojo funcione sin intervención humana: propiedad de los equipos sincronizada desde nuestro catálogo de servicios, repositorios de cada equipo cubiertos y una regla acordada sobre qué hallazgos bloquean un pipeline y cuáles solo informan.
• Integrar valores seguros por defecto en el "paved road" para que la forma segura sea la forma fácil: librerías de autenticación y sesión, validación de entradas, gestión de secretos, y comprobaciones de dependencias y contenedores en las plantillas de pipeline que los equipos ya utilizan.
• Realizar modelado de amenazas con los equipos antes de que el trabajo esté totalmente definido, utilizando y mejorando nuestro modelador de amenazas basado en IA para que responda a las preguntas de un ingeniero de forma clara y genere elementos de backlog con responsables y fechas.
• Triar hallazgos de escáneres, del test de penetración anual e informes externos, acordando la severidad y la responsabilidad con el equipo, y realizándoles el seguimiento hasta su cierre en DefectDojo conforme a nuestros SLAs de severidad.
• Ser el primer contacto de seguridad para incidentes en la capa de aplicación en todo Product Engineering: liderar la parte técnica, evaluar con Legal si se expusieron datos personales, redactar las acciones del postmortem y trabajar con Customer Support y Payments en casos de fraude y reportados por clientes, incluyendo phishing.
• Gestionar nuestras relaciones con proveedores de seguridad: el ciclo anual de tests de penetración con nuestro socio de testing (alcance, programación, planificación de la remediación), el programa de divulgación responsable y el buzón security@, y el proveedor de SAST una vez seleccionado.
• Actuar como revisor de seguridad en nuestro proceso de riesgo de terceros para nuevos proveedores e integraciones, y responder a los cuestionarios de seguridad que nos envían nuestros socios.
• Medir la postura de seguridad por área frente al DevSecOps Maturity Model y presentarla al CTO y al VP of Engineering con una cadencia fija.
• Hacer crecer el programa Security Champions con el Head of Developer Experience: un champion designado en cada equipo, sesiones de gremio basadas en demos y dos mejoras de seguridad por área lanzadas a través de los backlogs de los equipos cada trimestre.
• Mantener una hoja de ruta de seguridad breve y actualizada (Now/Next/Later), acordada con los Heads of Engineering cada trimestre y visible para Product Engineering.