Kyberturvallisuuden suunnitteluarkkitehti

ROOLI: Kyberturvallisuuden suunnittelukatselmoija/arkkitehti KEITÄ OLEMME: Vastaamme yritykseen kohdistuvien kybertunkeutumisyritysten havaitsemisesta ja ehkäisemisestä, autamme yritystä kehittämään turvallisempia sovelluksia ja infrastruktuuria, kehitämme työtämme tukevia ohjelmistoja, mittaamme kyberturvallisuusriskejä sekä suunnittelemme ja edistämme kyberturvallisuuskontrollien käyttöönottoa. Tiimillä on toimintaa Amerikassa, APAC-alueella, Intiassa ja EMEA-alueella. Technology Risk -organisaatiossa Advisory on konsultoiva ja tekniseen asiantuntijuuteen keskittyvä osa. Se arvioi uusien teknologiahankkeiden riskejä, tekee insinöörien kanssa yhteistyötä turvallisten sovellusten ja infrastruktuurin arkkitehtuurin, suunnittelun ja ylläpidon parissa, sisällyttää toteutuskatselmoinnit SDLC- ja CI/CD-prosessiin koodianalyysin ja tunkeutumistestauksen avulla sekä ohjaa teknologian kehitystä tietoturvan ja kontrollien osalta. Tiimillä on keskeinen rooli natiivien julkisen pilven sovellusten rakentamiseen siirtymiseen liittyvien kontrollien suunnittelussa ja arvioinnissa. MITEN PÄÄSET HYÖDYNTÄMÄÄN OSAAMISTASI: Työskentelet globaalissa Technology Risk -organisaatiossa ja vastaat osasta liiketoimintakriittisiä sovelluksia. Arvioit ja neuvot merkittävissä sovellusmuutoksissa niiden suunnittelu- ja arkkitehtuurivaiheessa tietoturvan näkökulmasta. Toimit sovellustiimiesi tietoturvan yhteyshenkilönä, kokoat havaintoja esimerkiksi tunkeutumistesteistä ja bug bounty -raporteista sekä edistät alan parhaita tietoturvastandardeja. Vastuualueisiisi kuuluu: • Kyberturvallisuuden suunnittelukatselmusten tekeminen, myös tekoäly- ja koneoppimisratkaisuille, sekä kehitystiimien arkkitehtuurien haastaminen ja validointi, jotta vahvat tietoturvakäytännöt huomioidaan alusta asti. • Kyberturvallisuuden asiantuntijana toimiminen sekä tiimien ohjaaminen turvallisissa suunnittelu- ja toteutusratkaisuissa ja parhaissa käytännöissä erityisesti verkkosovellusten ja AWS-infrastruktuurin osalta. • Organisaation toimintatapojen kehittäminen luomalla, dokumentoimalla ja edistämällä tehokkaita tietoturvamalleja sekä tukemalla kehittäjiä niiden käytössä. • Riskien esittely liiketoiminnalle ja niiden lieventämistä koskevien suositusten antaminen. • Tunkeutumistestaus- ja koodikatselmusraporttien sekä havaintojen analysointi ja kehitystiimien ohjaaminen tunnistettujen tietoturvaongelmien ratkaisemisessa. • Nuorempien tiimin jäsenten mentorointi ja tukeminen heidän kehittyessään kyberturvallisuuden tehtävissä. PERUSVAATIMUKSET: • Vähintään neljän vuoden kokemus yhdestä tai useammasta teknisestä tehtävästä, jossa painopisteenä ovat sovellus- ja pilviturvallisuus. • Aiempi kokemus uhkamallinnuksesta, turvallisuuden suunnittelukatselmuksista tai turvallisen arkkitehtuurin katselmuksista. • Tutkinto tietojenkäsittelytieteestä, järjestelmä- tai tietotekniikasta, kyberturvallisuudesta tai tietoturvasta. • Käytännön tuntemus yleisistä kyberturvallisuuden haavoittuvuuksista, kuten OWASP Top 10:stä ja pilviturvallisuuden puutteista. • Vahva kokemus AWS:n tietoturvapalveluista ja parhaista käytännöistä, esimerkiksi IAM, Security Groups, KMS, CloudTrail, GuardDuty ja Inspector. • Autentikointi- ja valtuutusprotokollien, kuten OAuthin, OIDC:n ja SAMLin, tuntemus. • Turvallisen ohjelmoinnin käytäntöjen tuntemus. • Turvallisuusstandardien, kuten OWASP Testing Guiden, OWASP ASVS:n, NISTin ja SANS Top 20:n, tuntemus. • Yleisten turvallisuuskontrollien ja niiden eri arkkitehtuureissa ja järjestelmissä soveltamisen tuntemus; esimerkkejä ovat autentikointi, valvonta, syötteiden validointi ja turvallinen konfigurointi. • Kokemus sovellusten haavoittuvuuksien arvioinnista ja tunkeutumistestauksesta. Turvallisuustyökalujen, kuten skannereiden, debuggaajien ja HTTP-välityspalvelinten, hallinta. • Nykyaikaisten verkkoteknologioiden, kuten HTTP/2:n, HTML5:n ja RESTin, sekä alustojen, kuten Spring Bootin, Reactin, NodeJS:n, Pythonin, MS SQL:n, PostgreSQL:n ja MongoDB:n, tuntemus. • Kryptografian perusteiden, kuten koodauksen, salauksen, hajautuksen ja protokollien, sekä niiden sovelluskäytön ja haavoittuvuuksien tuntemus; esimerkkeinä TLS ja algoritmikohtaiset hyökkäykset. • Vahva suullinen ja kirjallinen englannin taito riskien viestimiseen teknisille sidosryhmille ja johdolle. • Osoitettu kyky seurata kehittyviä tietoturvauhkia, haavoittuvuuksia ja niiden lieventämiskeinoja jatkuvan oppimisen ja ammatillisen kehittymisen kautta. EDUKSI KATSOTAAN: • Verkkojen tietoturvahaavoittuvuuksien ja niihin liittyvien riskien tuntemus. • Käyttöjärjestelmien koventamisen ja tietoturvasuojauksen hallinta. • Kyky arvioida uusien teknologioiden, kuten tekoälyn ja koneoppimisen, riskejä. • Kokemus mobiilisovellusten arkkitehtuurin katselmoinnista. • Kubernetesin tietoturvaperiaatteiden ja käytäntöjen tuntemus. • Azureen ja GCP:hen liittyvien kyberturvallisuusperiaatteiden ja käytäntöjen hallinta. • Kokemus kaupankäynti- ja maksuympäristöjen suojaamisesta sekä asiaankuuluvien vaatimusten, kuten PCI DSS:n, tuntemus. • Tietosuojastrategioiden tuntemus, mukaan lukien tallennetun ja siirrettävän tiedon salaus, käyttöoikeuskäytännöt, tietojen peittäminen, tokenisointi, tietovuotojen ehkäisy ja säännölliset varmuuskopiot. • Kokemus infrastruktuuri koodina -työkaluista, kuten Terraformista, CloudFormationista tai AWS CDK:sta. • Kokemus räätälöityjen sovellushyökkäysten konseptitoteutusten rakentamisesta testityökaluilla tai skripteillä esimerkiksi Pythonilla, Perlillä, JavaScriptillä tai shellillä. • Alan sertifikaatit ja koulutus, kuten AWS Certified Security - Specialty, GCP Cloud Security Engineer tai Azure Security Engineer Associate.