首席网络安全架构师(应用安全)

您将做什么

• 制定应用安全和 DevSecOps 架构方向,将风险偏好和政策转化为目标架构、原则、标准、模式和控制目标。
• 针对 Web、移动、API、微服务、无服务器和云原生架构提供权威的安全建议,在安全性、韧性、客户体验、交付速度和成本之间取得平衡。
• 主导从发现、设计、构建、发布到运营的安全架构审查和风险评估,以经得起审计的方式记录决策、风险、控制、例外和剩余风险。
• 使用 STRIDE、攻击树、滥用案例和数据流分析等技术促进威胁建模,并确保威胁转化为有明确负责人的工程需求,并配有经过验证的缓解措施。
• 设计和治理可重复使用的安全模式,涵盖身份和访问、会话管理、API 保护、机密、加密、密钥和证书使用、租户隔离、输入和输出处理、日志记录、监控和安全失效模式。
• 定义 DevSecOps 控制框架和参考流水线,包括政策即代码、安全质量门禁、基于风险的阈值、例外工作流、证据捕获和 CI/CD 反馈循环。
• 指导安全测试能力的集成和有效使用,例如 SAST、DAST、软件组成分析、机密扫描、基础设施即代码扫描、容器和镜像扫描、API 安全测试、移动测试和渗透测试。