语言
应用安全工程师 - 华中地区
GPSU/NW
全职🌍 远程📅 2026-10-27
GuidePoint Security 提供值得信赖的网络安全专业知识、解决方案和服务，帮助组织做出更好的决策并最大限度地降低风险。通过采取三管齐下、整体的方法来评估安全态势和生态系统，GuidePoint 使一些美国顶尖组织（如财富 500 强公司和美国政府机构）能够识别威胁、优化资源并整合最佳解决方案以降低风险。
职位概述
我们正在寻找一位技术熟练的应用程序安全工程师，以支持 GuidePoint Security 在北美中部地区的应用程序安全实践。该职位将参与开发安全软件开发生命周期 (SSDLC) 计划、DevSecOps 管道集成以及对 AI 驱动和代理应用程序进行安全评估，同时为客户和/或内部客户或同事提供“让他们惊叹”的服务。
应用程序安全工程师需要展示强大的应用程序安全测试、DevSecOps 自动化和安全代码审查技能，能够以影响力领导，并具备强大的业务/财务敏锐度，以推动使用先进的应用程序安全、软件供应链和 AI 安全计划，从而与交付业务目标和优先事项保持一致。
关于北美中部应用程序安全实践
北美中部应用程序安全实践负责帮助客户构建、扩展和完善安全软件开发计划。我们评估应用程序，将安全嵌入工程工作流程，并为整个组织的开发和安全领导者提供建议。
我们的应用程序安全工程师、顾问和架构师团队专注于 SAST、DAST、SCA、API 和云原生安全、软件供应链安全以及 AI 驱动和代理应用程序的安全。我们与客户工程、平台和安全团队合作，在不影响交付的情况下降低风险。
- 在整个 CI/CD 管道中实现 DevSecOps 和“左移”安全自动化
- 软件供应链安全，包括 SBOM、开源风险和工件完整性
- 保护 AI/LLM 应用程序和代理工作流程免受新兴威胁
职责范围：
- 运行并调整客户的 SAST、DAST、SCA、密钥和 IaC 扫描工具；对结果进行分类，消除误报，并提供优先级的、可操作的补救指导
- 设计和实现安全工具与 CI/CD 管道（例如，GitHub Actions、GitLab CI、Azure DevOps、Jenkins）、源代码控制、IDE 和票务系统（例如，Jira、ServiceNow）的集成，包括策略门和中断构建标准
- 与开发团队合作进行补救、安全编码指导和开发者赋能，将安全嵌入整个 SDLC
- 评估和加强软件供应链控制，包括 SBOM 生成、依赖项和容器镜像扫描、工件签名以及管道/运行器安全（例如，SLSA）
- 对云原生、微服务、容器（Docker/Kubernetes）和基础设施即代码（Terraform、CloudFormation）环境执行威胁建模和安全架构审查
- 利用 AI 辅助和代理工具（例如，AI 代码助手、自动分类和自动补救工作流程）加速测试和报告，并向客户就安全采用 AI 代码助手提供建议
- 通过定义指标、漏洞管理 SLA 和与 OWASP SAMM、BSIMM 和 NIST SSDF 等框架保持一致的路线图，帮助客户成熟 AppSec 计划
- 制作清晰、可交付给客户的成果，向技术和执行受众展示发现，并通过工具、方法论和知识共享为 AppSec 实践的增长做出贡献
所需经验和教育背景：
- 1-3 年以上的应用程序安全、DevSecOps 或以安全为重点的软件开发经验
- 拥抱包括 AI 工具在内的新兴技术，以更智能地工作、解决问题并推动更好的业务成果
- 具有使用 SAST、DAST 和 SCA 工具并将它们集成到 CI/CD 管道（例如，Azure DevOps、GitHub Actions、GitLab CI、Jenkins、Bamboo）的实际经验
- 熟练使用 Burp Suite Pro 等手动测试工具，并深刻理解 OWASP Top 10 和 OWASP API Security Top 10 及其缓解策略
- 对安全开发生命周期有很强的实践知识，并具有指导应用程序安全工具识别的漏洞补救的经验
- 能够审查 JavaScript/TypeScript、Python、Java、C#、Go、PHP 或 C/C++ 中的一种或多种语言的源代码
- 对云平台（AWS、Azure 或 GCP）、容器和基于 Git 的开发工作流程有实践知识
- 强大的书面和口头沟通能力，能够将复杂的问题提炼成对技术和执行受众易于理解的信息
首选经验和教育背景：
- 具有 Invicti (DAST) 和/或 Checkmarx (SAST/SCA) 经验者优先；具有其他平台（例如，Snyk、Veracode、Black Duck、Semgrep、GitHub Advanced Security）经验者优先
- 具有构建代理应用程序的经验