Ingeniero/a sénior de operaciones de seguridad Senior Security Operations Engineer
- Remoto (EE. UU.)
- $165,000 – $205,000 por año
- Tiempo completo
- Publicado hace 12 horas
Se postulará en el sitio web original.
Sobre este empleo
Ingeniero/a sénior de operaciones de seguridad
Acerca del puesto
SunCore Digital busca un/a ingeniero/a sénior de operaciones de seguridad con experiencia práctica para evaluar y mejorar la seguridad de nuestras aplicaciones, entornos en la nube, prácticas de desarrollo, identidades, datos y herramientas operativas.
Esta persona establecerá estándares de seguridad prácticos, desarrollará y reforzará controles de seguridad compartidos, investigará riesgos y revisará implementaciones que afecten la seguridad y que realicen los equipos de confiabilidad, recuperación, DevOps y aplicaciones. Los equipos responsables de los sistemas seguirán siendo responsables de corregir sus aplicaciones y servicios, así como de operar los controles rutinarios específicos de sus sistemas una vez habilitados.
Este puesto no consiste en aprobar manualmente cada lanzamiento de software habitual. La revisión de seguridad se centrará en áreas de riesgo definidas, incluidos los cambios que involucren acceso privilegiado, datos confidenciales, sistemas de recuperación, exposición a redes, secretos, infraestructura, autenticación, autorización y controles de seguridad.
Responsabilidades
Evaluación de seguridad
Evaluar la postura de seguridad actual en aplicaciones web, aplicaciones móviles Flutter, API, servicios de backend, infraestructura en la nube, repositorios, CI/CD, bases de datos e integraciones.
Inventariar los servicios y puntos de conexión accesibles desde el exterior.
Identificar vulnerabilidades, configuraciones predeterminadas inseguras, permisos excesivos, credenciales sin administrar y brechas en los controles.
Distinguir los hallazgos confirmados de los riesgos sospechados y las áreas no evaluadas.
Priorizar los hallazgos en función de la facilidad de explotación, el impacto potencial, la exposición y su relevancia para el lanzamiento.
Definir los requisitos de corrección y colaborar con los responsables de los sistemas, quienes implementan y mantienen las correcciones específicas de las aplicaciones y los servicios. Implementar controles de seguridad compartidos cuando estos sean responsabilidad de la función de seguridad.
Verificar que los hallazgos críticos se hayan resuelto eficazmente.
Gestión de identidades y accesos
Revisar el acceso a cuentas en la nube, repositorios, bases de datos, sistemas de CI/CD, entornos de producción y servicios de terceros.
Identificar accesos de ex empleados, contratistas y accesos compartidos, excesivos o no documentados.
Establecer prácticas de mínimo privilegio y revisión de accesos.
Revisar cuentas de servicio, identidades de máquinas, credenciales de API y roles privilegiados.
Definir y reforzar los requisitos del ciclo de vida de las credenciales, y colaborar con DevOps, el personal de plataforma y los responsables de sistemas para implementar mecanismos adecuados de emisión, almacenamiento, rotación, revocación y acceso de emergencia.
Asegurarse de que se registren las actividades de acceso críticas cuando corresponda.
Apoyar las revisiones de acceso y autorización basadas en roles.
Seguridad de aplicaciones y API
Revisar la autenticación, la autorización, la gestión de sesiones, los permisos y el aislamiento de datos.
Evaluar las API expuestas, el manejo de entradas, el procesamiento de archivos, el manejo de datos confidenciales y las funciones administrativas.
Evaluar de forma independiente las rutas de acceso negativo de alto riesgo y el acceso directo a puntos de conexión restringidos.
Colaborar con QA y los desarrolladores para convertir escenarios de seguridad repetibles en pruebas de regresión a cargo del equipo de entrega correspondiente.
Revisar los cambios que involucren flujos de trabajo confidenciales o nuevas exposiciones públicas.
Ayudar a establecer expectativas para la programación segura y las revisiones de código.
Apoyar el modelado de amenazas para flujos de trabajo críticos y cambios arquitectónicos sustanciales.
Seguridad móvil
Evaluar la autenticación móvil, el manejo de sesiones, el almacenamiento seguro, el acceso a API, los permisos de aplicaciones, el registro y la exposición de datos confidenciales.
Revisar los riesgos relacionados con el almacenamiento en dispositivos, las capturas de pantalla, las notificaciones, las cachés locales y la configuración móvil.
Colaborar con el/la ingeniero/a de QA móvil y los desarrolladores móviles en las pruebas relacionadas con la seguridad.
Revisar las prácticas de lanzamiento móvil cuando afecten la seguridad de las aplicaciones.
Herramientas y automatización de seguridad
Definir, implementar y reforzar la automatización específica de seguridad, incluidos el análisis de dependencias, el análisis de secretos, el análisis estático, el análisis de vulnerabilidades y, cuando corresponda, el análisis de contenedores o infraestructura; establecer quién será responsable a largo plazo de cada control compartido antes de transferirlo.
Definir políticas, reglas y umbrales de aceptación de seguridad; colaborar con DevOps para integrar controles compartidos en CI/CD y con los responsables de los repositorios para mantener la configuración específica de las aplicaciones.
Establecer controles de seguridad accionables según la gravedad y el contexto, mientras los responsables de los sistemas siguen siendo responsables de las correcciones.
Evitar crear controles de poco valor que bloqueen la entrega sin reducir riesgos importantes.
Mejorar la visibilidad y los informes de hallazgos de seguridad.
Definir procedimientos para excepciones y escalaciones.
Dar seguimiento a las correcciones críticas hasta su verificación.
Revisión de implementaciones de confiabilidad y recuperación
Revisar las implementaciones de SRE y recuperación ante desastres que afecten la seguridad antes de su adopción en producción.
-
Evaluar los cambios que involucren:
Automatización privilegiada
Cuentas de servicio
Secretos
Datos de respaldo
Acceso de recuperación
Configuración de redes o firewalls
Permisos de infraestructura
Rutas de conmutación por error
Registro o monitoreo de datos confidenciales
Revisar los cambios de DevOps, paneles y herramientas internas cuando afecten el acceso, los datos de producción, la infraestructura o los controles de seguridad.
Validar que las mejoras operativas no introduzcan exposiciones de seguridad evitables.
Operaciones de seguridad y preparación para incidentes
Establecer requisitos de monitoreo de seguridad y escalación.
Desarrollar procedimientos y guías operativas para responder a incidentes de seguridad.
Definir la clasificación inicial de gravedad de los incidentes de seguridad y las vías de notificación.
Investigar eventos de seguridad y actividades sospechosas.
Apoyar la preservación de evidencia y el análisis técnico de incidentes.
Realizar o coordinar ejercicios de seguridad.
Dar seguimiento a las acciones correctivas posteriores a incidentes.
Asegurarse de que personal calificado pruebe las guías operativas de seguridad.
Seguridad de datos y proveedores
Identificar dónde se almacenan y transmiten los datos confidenciales, personales, financieros u operativos.
Revisar el cifrado de datos en tránsito y en reposo.
Evaluar la retención, eliminación, exportación, registro y comportamiento de acceso.
Revisar los servicios de terceros que reciben código, credenciales, datos operativos o información confidencial.
Apoyar las revisiones de seguridad de proveedores según el riesgo empresarial.
Ayudar a identificar obligaciones de seguridad y privacidad que requieran la participación de las áreas legal o de cumplimiento.
Colaboración
Colaborar con los desarrolladores para corregir los hallazgos de las aplicaciones.
Colaborar con SRE en el registro, el monitoreo, la preparación para incidentes y los controles de confiabilidad relevantes para la seguridad.
Colaborar con el/la ingeniero/a de recuperación ante desastres y resiliencia en la seguridad de los respaldos, la restauración, el acceso de emergencia y la recuperación.
Definir requisitos de seguridad para CI/CD e infraestructura compartida; colaborar con DevOps y el personal de plataforma para implementarlos, y con los responsables de los sistemas para mantener la configuración específica de las aplicaciones.
Colaborar con QA en permisos, autorización, aislamiento de datos y escenarios de regresión.
Proporcionar a la dirección hallazgos técnicos e información sobre riesgos de forma clara.
Prioridades iniciales
Inventariar el acceso a producción, las cuentas de servicio, los secretos y los puntos de conexión accesibles públicamente.
Revisar los accesos de ex empleados, contratistas y accesos compartidos.
Establecer y reforzar capacidades compartidas de análisis de dependencias y secretos, coordinar con DevOps la integración en CI/CD y asignar la responsabilidad de las correcciones a los equipos responsables de los repositorios correspondientes.
Evaluar la autenticación, la autorización y el aislamiento de los datos de clientes.
Revisar los permisos críticos de la nube y la infraestructura.
Identificar los hallazgos de seguridad críticos para el lanzamiento.
Establecer criterios para iniciar revisiones de seguridad ante cambios de alto riesgo.
Implementar el monitoreo inicial de seguridad y los procedimientos para incidentes.
Revisar las medidas de mitigación de SRE y recuperación que afecten la seguridad de producción.
Crear una evaluación objetiva del estado de preparación en materia de seguridad.
Requisitos obligatorios
Cinco años o más de experiencia en ingeniería de seguridad, DevSecOps, seguridad en la nube, seguridad de aplicaciones, operaciones de seguridad o un puesto comparable.
Experiencia práctica en la corrección de problemas de seguridad.
Experiencia en la protección de aplicaciones e infraestructura alojadas en la nube.
Experiencia en la revisión de autenticación, autorización, permisos y aislamiento de datos.
Experiencia con la integración de seguridad en CI/CD.
Experiencia con herramientas de análisis de vulnerabilidades, dependencias y secretos, y de análisis estático.
Sólido conocimiento de identidades, accesos, cuentas de servicio, secretos y mínimo privilegio.
Experiencia en la revisión de aplicaciones web y API.
Familiaridad con la seguridad de aplicaciones móviles.
Experiencia en monitoreo de seguridad y respuesta a incidentes.
Capacidad para evaluar riesgos de seguridad operativos y de terceros.
Sólidas habilidades de documentación técnica y comunicación.
Capacidad para distinguir entre vulnerabilidades confirmadas, riesgos sospechados y áreas no evaluadas.
Comodidad trabajando en una organización pequeña donde aún se están estableciendo las prácticas de seguridad.
Requisitos deseables
Experiencia preparando una plataforma para sus primeros usuarios externos.
Experiencia estableciendo prácticas de seguridad en una startup o una organización de ingeniería pequeña.
Familiaridad con criptomonedas, tecnología financiera, activos digitales, KYC, AML o sistemas relacionados con pagos.
Experiencia con Flutter o seguridad de aplicaciones móviles.
Experiencia protegiendo sistemas de recuperación ante desastres, respaldos o automatización privilegiada.
Experiencia con infraestructura como código o plataformas con contenedores.
Experiencia en un entorno remoto y asíncrono.
Cómo se ve el éxito
Se han inventariado el acceso a producción, las identidades privilegiadas, las cuentas de servicio y los secretos.
Se han eliminado los accesos de ex empleados y los accesos excesivos.
Los repositorios y sistemas críticos cuentan con análisis de seguridad automatizados adecuados.
Se comprenden los riesgos de autenticación, autorización y aislamiento de datos.
Los hallazgos de seguridad críticos para el lanzamiento son visibles y se han corregido o aceptado explícitamente.
Las implementaciones de SRE y recuperación que afectan la seguridad se revisan antes de su adopción.
Los controles de seguridad son prácticos, están documentados y se integran en los flujos de trabajo de ingeniería.
La organización cuenta con un proceso probado para incidentes de seguridad.
La seguridad no depende de conocimientos no documentados ni de la revisión manual de cada lanzamiento rutinario.
Compensación y beneficios
● Compensación base: Competitiva; se determina según la experiencia, la solidez del portafolio y la ubicación geográfica.
● Bonos por hitos: Bono del 10 % por hito para cada miembro del equipo que colabore en el desarrollo del MVP.
● Bono anual por desempeño: Representa un porcentaje significativo de la compensación total.
● Beneficios para contrataciones nacionales: Planes médicos, dentales y de visión.
● Retiro anual pagado: Retiros de equipo en el Caribe, Hawái, destinos de esquí y otros lugares atractivos.
¿Por qué unirse a SunCore Digital?
● Puesto de gran impacto en una empresa digital de rápido crecimiento.
● Equipo completamente remoto con flexibilidad para trabajar de forma asíncrona.
● Colaboración directa con el equipo directivo y socios de marketing y diseño de primer nivel.
● Oportunidad de dar forma a los procesos de seguridad y orientar a miembros júnior del equipo.
● Compensación competitiva con potencial de aumento según el desempeño.
Publicado originalmente en Himalayas
Anuncio original en inglés
Senior Security Operations Engineer
About the Role
SunCore Digital is seeking a hands-on Senior Security Operations Engineer to assess and improve the security of our applications, cloud environments, development practices, identities, data, and operational tooling.
This role will establish practical security standards, build and harden shared security controls, investigate risk, and review security-impacting implementations produced by reliability, recovery, DevOps, and application teams. System-owning teams remain responsible for remediating their applications and services and for operating routine system-specific controls after enablement.
This is not a role that manually approves every normal software release. Security review will focus on defined risk areas, including changes involving privileged access, sensitive data, recovery systems, network exposure, secrets, infrastructure, authentication, authorization, and security controls.
Responsibilities
Security assessment
Assess the current security posture across web applications, Flutter mobile applications, APIs, backend services, cloud infrastructure, repositories, CI/CD, databases, and integrations.
Inventory externally accessible services and endpoints.
Identify vulnerabilities, insecure defaults, excessive permissions, unmanaged credentials, and control gaps.
Distinguish confirmed findings from suspected risks and unassessed areas.
Prioritize findings based on exploitability, potential impact, exposure, and launch relevance.
Define remediation requirements and work with system owners, who implement and maintain application- and service-specific fixes. Implement shared security controls where the control belongs to the security function.
Verify that critical findings are resolved effectively.
Identity and access management
Review access to cloud accounts, repositories, databases, CI/CD systems, production environments, and third-party services.
Identify former employee, contractor, shared, excessive, or undocumented access.
Establish least-privilege and access-review practices.
Review service accounts, machine identities, API credentials, and privileged roles.
Define and harden credential lifecycle requirements, and work with DevOps, platform staff, and system owners to implement appropriate issuance, storage, rotation, revocation, and emergency-access mechanisms.
Ensure critical access activity is logged where appropriate.
Support role-based access and authorization reviews.
Application and API security
Review authentication, authorization, session management, permissions, and data isolation.
Assess exposed APIs, input handling, file processing, sensitive-data handling, and administrative functions.
Independently assess high-risk negative-access paths and direct access to restricted endpoints.
Work with QA and developers to convert repeatable security scenarios into regression coverage owned by the applicable delivery team.
Review changes involving sensitive workflows or new public exposure.
Help establish secure coding and review expectations.
Support threat modeling for critical workflows and material architectural changes.
Mobile security
Assess mobile authentication, session handling, secure storage, API access, application permissions, logging, and sensitive-data exposure.
Review risks related to device storage, screenshots, notifications, local caches, and mobile configuration.
Work with the Mobile QA Engineer and mobile developers on security-related testing.
Review mobile release practices where they affect application security.
Security tooling and automation
Define, implement, and harden security-specific automation, including dependency scanning, secret scanning, static analysis, vulnerability scanning, and container or infrastructure scanning where appropriate; establish the long-term owner for each shared control before handoff.
Define security policies, rules, and acceptance thresholds; work with DevOps to integrate shared controls into CI/CD and with repository owners to maintain application-specific configuration.
Establish actionable security gates based on severity and context, while system owners remain responsible for remediation.
Avoid creating low-value controls that block delivery without reducing material risk.
Improve security finding visibility and reporting.
Define exception and escalation procedures.
Track critical remediation through verification.
Review of reliability and recovery implementations
Review security-impacting SRE and Disaster Recovery implementations before production adoption.
-
Evaluate changes involving:
Privileged automation
Service accounts
Secrets
Backup data
Recovery access
Network or firewall configuration
Infrastructure permissions
Failover paths
Sensitive logging or monitoring
Review DevOps, dashboard, and internal-tooling changes when they affect access, production data, infrastructure, or security controls.
Validate that operational improvements do not introduce avoidable security exposure.
Security operations and incident readiness
Establish security monitoring and escalation requirements.
Develop security incident-response procedures and runbooks.
Define initial security incident severity and notification paths.
Investigate security events and suspicious activity.
Support evidence preservation and technical incident analysis.
Conduct or coordinate security exercises.
Track post-incident corrective actions.
Ensure security runbooks are tested by qualified staff.
Data and vendor security
Identify where sensitive, personal, financial, or operational data is stored and transmitted.
Review encryption in transit and at rest.
Assess retention, deletion, export, logging, and access behavior.
Review third-party services that receive code, credentials, operational data, or sensitive information.
Support vendor security review based on business risk.
Help identify security and privacy obligations that require legal or compliance input.
Collaboration
Work with developers to remediate application findings.
Work with SRE on logging, monitoring, incident readiness, and security-relevant reliability controls.
Work with the Disaster Recovery and Resilience Engineer on backup, restoration, emergency access, and recovery security.
Define security requirements for CI/CD and shared infrastructure; work with DevOps and platform staff to implement them, and with system owners to maintain application-specific configuration.
Work with QA on permissions, authorization, data isolation, and regression scenarios.
Provide clear technical findings and risk information to leadership.
Initial Priorities
Inventory production access, service accounts, secrets, and publicly accessible endpoints.
Review former employee, contractor, and shared access.
Establish and harden shared dependency- and secret-scanning capabilities, coordinate CI/CD integration with DevOps, and assign remediation ownership to the applicable repository teams.
Assess authentication, authorization, and customer-data isolation.
Review critical cloud and infrastructure permissions.
Identify launch-critical security findings.
Establish security review triggers for high-risk changes.
Implement initial security monitoring and incident procedures.
Review SRE and recovery mitigations that affect production security.
Create a factual security-readiness assessment.
Required Qualifications
Five or more years of experience in security engineering, DevSecOps, cloud security, application security, security operations, or a comparable role.
Hands-on experience remediating security issues.
Experience securing cloud-hosted applications and infrastructure.
Experience reviewing authentication, authorization, permissions, and data isolation.
Experience with CI/CD security integration.
Experience with vulnerability, dependency, secret, and static-analysis tooling.
Strong understanding of identity, access, service accounts, secrets, and least privilege.
Experience reviewing web applications and APIs.
Familiarity with mobile application security.
Experience with security monitoring and incident response.
Ability to assess third-party and operational security risks.
Strong technical documentation and communication skills.
Ability to distinguish confirmed vulnerabilities, suspected risks, and unassessed areas.
Comfort working in a small organization where security practices are still being established.
Bonus Points
Experience preparing a platform for its first external users.
Experience establishing security practices in a startup or small engineering organization.
Familiarity with crypto, fintech, digital assets, KYC, AML, or payment-related systems.
Experience with Flutter or mobile application security.
Experience securing disaster-recovery, backup, or privileged automation systems.
Experience with infrastructure as code or containerized platforms.
Experience in a remote, asynchronous environment.
What Success Looks Like
Production access, privileged identities, service accounts, and secrets are inventoried.
Former and excessive access is removed.
Critical repositories and systems have appropriate automated security scanning.
Authentication, authorization, and data-isolation risks are understood.
Launch-critical security findings are visible and remediated or explicitly accepted.
Security-impacting SRE and recovery implementations are reviewed before adoption.
Security controls are practical, documented, and integrated into engineering workflows.
The organization has a tested security incident process.
Security does not depend on undocumented knowledge or manual review of every routine release.
Compensation & Benefits
● Base Compensation: Competitive, based on experience, portfolio strength, and geographic location.
● Milestone Bonuses:10% milestone bonus awarded to every team member assisting with the MVP build-out.
● Annual Performance Bonus: Represents a significant percentage of total compensation.
● Benefits for Domestic Hires: Health, dental, and vision plans.
● Annual Paid Offsite: Team retreats in Caribbean, Hawaii, ski destinations, and other exciting locations.
Why Join SunCore Digital?
● High-impact role in a rapidly scaling digital company.
● Fully remote team with async flexibility.
● Direct collaboration with executive leadership and best-in-class marketing/design partners.
● Opportunity to shape Security processes and mentor junior team members.
● Competitive compensation with performance upside.
Originally posted on Himalayas
Los empleadores en JOBUS nunca le pedirán pagar, comprar equipo ni compartir datos bancarios o de Seguro Social antes de una oferta formal. Confianza y seguridad