Ledande applikationssäkerhetsingenjör

Fingerprint hjälper företag att upptäcka och stoppa nätbedrägerier med världens mest träffsäkra enhetsinformation. Vi ligger i framkant inom identifiering och förverkligar nya idéer och upptäckter inom bedrägeribekämpning. Våra kunder är allt från innovativa nystartade bolag till ledande företag, däribland Plaid, Dropbox och Booking.com. Fingerprint är ett globalt distribuerat företag med 100 procent distansarbete. Vi utsågs till en av 2026 års Forbes Best Startup Employers och placerade oss på plats 803 på 2026 års Inc. 5000-lista över USA:s snabbast växande privata företag. Vi har tagit in 77 miljoner dollar och stöds av Craft Ventures (Tesla, Facebook, Airbnb), Nexus Venture Partners (Postman, Apollo.io, MinIO, Druva) och Uncorrelated Ventures (Redis, Rollbar, Gradle). Rollen i sitt sammanhang Fingerprints plattform för enhetsinformation behandlar miljarder identifieringshändelser för några av världens mest säkerhetsmedvetna företag – finansinstitut, aktörer inom bedrägeribekämpning och företag som förlitar sig på att vi stoppar angripare. Därför är vår egen applikationssäkerhet en produktegenskap, inte en stödfunktion: våra kunders motståndare har per definition anledning att undersöka det vi bygger. När vi växer tillsammans med stora företagskunder satsar vi på applikationssäkerhet som en egen, central ingenjörsdisciplin. Säkerhet är redan en del av hur teamen utvecklar: skanning ingår i utvecklingsflödet, Cloud Platform-teamet samarbetar kring säkerhet och vårt efterlevnadsarbete är väl utvecklat. Nu bygger vi upp en fokuserad AppSec-funktion under en Senior Manager, Application Security, som ansvarar för programmet och strategin. Du blir funktionens första seniora ingenjör och omsätter strategin i ett fungerande säkert utvecklingsflöde, hittar och åtgärdar det som spelar roll och höjer säkerhetsnivån genom teknisk kompetens, verktyg och påverkan. Det här är en praktisk Staff-roll. Du utformar, bygger och driver lösningar – du ger inte bara råd. Dina arbetsuppgifter Säker utvecklingsprocess och säkerhetsutveckling - Utforma och bygga Fingerprints säkra utvecklingsprocess: säkerhetskrav, hotmodellering vid design, säker kodgranskning och säkerhetstester före lansering. Arbetet ska ingå i utvecklarnas befintliga rutiner, inte läggas till som en separat spärr. - Ansvara för och driva verktygskedjan för säkerhet: SAST, DAST, SCA- och beroendeskanning, upptäckt av hemligheter samt skanning av containrar och infrastruktur som kod (Snyk eller motsvarande). Verktygen ska ge relevanta resultat, integreras i CI/CD och ha tydligt ansvar och åtgärdsfrister. - Bygga en AI-baserad verktygskedja med AI-stödd triagering och automatisk korrigering, säkerhetsgranskningsagenter i kodningsagenternas flöde och CI samt AI-stödd testning. Med stöd av belägg avgör du vad verktygen får blockera, flagga eller åtgärda själva. - Skapa säkra standardlösningar: säkra standardinställningar, förstärkta bibliotek och ramverk samt återanvändbara mönster för autentisering och behörigheter, indatavalidering, hemlighetshantering och kryptografi. - Skriva kod och bidra direkt till utvecklingsrepositorier med korrigeringar, säkerhetsbibliotek, CI-integrationer och automatisering. Hotmodellering, säkerhetsgranskningar och sårbarhetshantering - Leda hotmodellering och arkitektursäkerhetsgranskningar för nya produkter, funktioner och större förändringar i API:er, webb- och mobil-SDK:er, kontrollpanel och datapipeline. - Driva och utveckla sårbarhetshanteringen: triagera och riskbedöma fynd från skannrar, penetrationstester, bug bounty-program och kundrapporter samt se till att de åtgärdas enligt tydliga allvarlighetsnivåer och tidsfrister. - Samarbeta med Compliance Lead, som i dag driver penetrationstesterna, kring avgränsning och omtestning samt omvandla resultaten till utvecklingsarbete. Du bidrar med den tekniska kompetensen och ansvarar för åtgärderna. - Testa Fingerprints plattform praktiskt genom granskning och exploatering av problem med autentisering och behörigheter, API:er, injektion, SSRF, affärslogik och missbruksvägar. Särskild uppmärksamhet krävs på hot mot bedrägeri- och botdetektering, där angripare aktivt försöker kringgå produkten. Incidenthantering och upptäckt på applikationsnivå - Vara teknisk ledare vid säkerhetsincidenter på applikationsnivå: utredning, begränsning, grundorsaksanalys och åtgärder. Vid infrastrukturincidenter samarbetar du med Cloud Platform. - Definiera vilken loggning och vilka larm som behövs för applikationssäkerheten och arbeta med Cloud Platform och utvecklingsteamen för att införa dem. Säkerhetskultur och stöd - Vara AppSec-partner till utvecklingsteamen genom öppna frågestunder, designkonsultationer, vägledning i säker kodning och ett Security Champions-program som gör att din påverkan når fler än en person. - Ta fram och hålla praktisk utbildning i säker kodning med utgångspunkt i Fingerprints faktiska kod och verkliga fynd. - Handleda ingenjörer i säkerhetstänkande och höja nivån genom kodgranskning och återkoppling på design. Samarbete och kundernas förtroende - Arbeta med Senior Manager, Application Security, kring AppSec-färdplanen. Du bidrar med tekniska fynd, riskbedömningar och rekommendationer som påverkar prioriteringarna och ansvarar för att genomföra det tekniska programmet. - Ta fram tekniska belägg för säkerhetskontroller när efterlevnadsarbetet behöver dem. Du gör kontrollerna verkliga; någon annan äger efterlevnadsprogrammet. - Stödja säkerhetsdialoger med företagskunder genom teknisk kompetens: frågeformulär, arkitekturfrågor, sammanfattningar av penetrationstester och due diligence-samtal med kundernas informationssäkerhetsteam. - Delta i leverantörernas säkerhetsbedömningar när tredjepartskod eller integrationer berör plattformen. Det vi söker Krav - Minst åtta års erfarenhet av mjukvaruutveckling och/eller säkerhetsutveckling, varav minst fem år med inriktning på applikationssäkerhet. Du har själv arbetat praktiskt med AppSec på ett produktbolag, inte bara som konsult eller revisor. - Stark grund inom mjukvaruutveckling. Du skriver produktionsklar kod i TypeScript/JavaScript, Go, Python eller liknande, förstår moderna webb- och API-arkitekturer och är van att arbeta i kodrepositorier och CI/CD-flöden. - Djup praktisk kunskap om AppSec och OWASP Top 10 med mera: utformning av autentisering och behörigheter, API-säkerhet, olika injektionssårbarheter, SSRF, felaktig kryptografianvändning samt brister i affärslogik och missbruk. Du hittar problemen manuellt, förklarar varför de är viktiga och föreslår lösningar som utvecklare accepterar. - Erfarenhet av hotmodellering och säkerhetsgranskning. Du har lett säkerhetsgranskningar i designfasen för komplexa system och tagit fram hotmodeller som utvecklare har använt. - Erfarenhet av säkerhetsverktyg. Du har infört och justerat SAST-, DAST-, SCA- och verktyg för upptäckt av hemligheter i CI/CD och gjort dem användbara i stället för bullriga. - AI-baserade säkerhetsverktyg. Du har använt AI-stödd kodanalys, triagering eller automatisk korrigering i ett verkligt program, inte bara i ett test. Du har en välgrundad uppfattning om vad verktygen kan lita på, när de skapar brus och vad som bör blockera en ändring. Du använder AI-agenter dagligen i ditt eget säkerhetsarbete. - Ägarskap för sårbarhetshantering. Du har ansvarat för triagering, allvarlighetsbedömning, uppföljning av åtgärder och penetrationstester med tydliga tidsfrister. - Förmåga att påverka utan formellt mandat. Du har förbättrat säkerhetsresultat i utvecklingsteam genom förtroende, samarbete och bra verktyg – inte genom påbud. - Tydlig kommunikation. Du skriver precisa fynd och designkommentarer och kan förklara tekniska risker för utvecklare, ledning och kundernas säkerhetsteam. Meriterande - Erfarenhet av bedrägeridetektering, botbekämpning, identitet eller enhetsinformation. Hotbilden är konkret och särskiljande. - Djup kunskap om AWS-molnsäkerhet, bland annat IAM, nätverksgränser, hemlighetshantering och arbetslastidentitet, samt erfarenhet av Wiz eller motsvarande CSPM-verktyg. - Säkerhet för klienter och mobila SDK:er: webbläsarens säkerhetsmodell, skydd mot manipulering, avvägningar kring obfuskering samt härdning av iOS- och Android-SDK:er. - Erfarenhet av SaaS-tjänster med flera kunder och API:er med stor trafik och tiukkoja viivevaatimuksia. - Bug bounty -ohjelmien ylläpito, esimerkiksi HackerOne tai Bugcrowd. - AI/ML-tietoturvan tuntemus: LLM-toiminnot, prompt injection, agenttien työkalujen käyttöoikeudet sekä mallien ja dataputkien riskit. - Kokemus autonomisesta tai tekoälyavusteisesta tunkeutumistestauksesta ja hyökkäyssimulaatioista sekä näkemys niiden täydentävyydestä ihmisten tekemään testaukseen. - Tietoturvasertifikaatit (OSCP, OSWE, GWAPT, CSSLP), julkaistu tutkimus, CVE-tunnisteet tai avoimen lähdekoodin tietoturvapanokset. - Kokemus SOC 2- tai ISO 27001 -kontrollien teknisestä omistajuudesta ohjelman omistamisen sijaan. Rollen utformning Det här är Senior Manager, Application Securitys seniora motsvarighet bland individuella experter. Chefen ansvarar för programmet, strategin och teamet; du ansvarar för den tekniska kompetensen och genomförandet. Ni arbetar som ett par: du bidrar med fynd, tekniska bedömningar och verklighetsbilden från kodbasen, och tillsammans väljer ni vad som ska prioriteras. Som Staff-ingenjör förväntas du arbeta självständigt, avgränsa otydliga problem, ange den tekniska riktningen för AppSec och driva initiativ över flera kvartal utan daglig styrning. Som den första ingenjören i en särskild AppSec-funktion lägger du grunden för verksamhetens mönster, verktyg och standarder. Rollen passar inte den som främst vill skriva policy eller leda ett program på avstånd. Den passar en ingenjör som hittar verkliga buggar, bygger fungerande verktyg och vinner andra ingenjörers förtroende genom att förbättra deras kod. Varför den här rollen? - Bygg en särskild AppSec-funktion från början med en chef och ett tydligt uppdrag bakom dig. Satsningen har stöd och prioritet på VP-nivå. - Arbeta med en säkerhetsfråga som gör verklig skillnad: Fingerprints kunder använder oss för att stoppa bedrägerier och missbruk. Motståndarna är verkliga, skickliga och motiverade, vilket ger en mer intressant hotbild än hos de flesta SaaS-bolag. - Använd en modern teknikstack och befintliga verktyg: Snyk, Wiz, Cloudflare och Okta. Cloud Platform-teamet ser säkerhet som en samarbetspartner, inte ett hinder. - Fokusera på teknik. Kompetenta team ansvarar för efterlevnad, IT och infrastruktur, så din arbetsdag ägnas åt kod, fynd och verktyg i stället för bevisinsamling och ärendeköer. - Få Staff-nivåns ansvar och självständighet. Du anger applikationssäkerhetens tekniska riktning i ett företag där säkerhet stärker företagsförsäljningen. Lön och transparens På Fingerprint anser vi att lönetransparens är en del av arbetssättet i ett distribuerat team med distansarbete som norm. Lönen grundas på funktion, nivå och geografisk plats och jämförs med bolag i motsvarande tillväxtfas. Rollen kan tillsättas i hela USA och utföras var som helst där våra teammedlemmar arbetar. Därför speglar löneintervallet de geografiska skillnaderna: 177 000–240 000 dollar. Exempel på lön i vissa städer: - New York: 209 000–240 000 dollar. - Chicago: 177 000–204 000 dollar. Slutlönen påverkas av bland annat kandidatens plats, erfarenhet och kompetens och kan avvika från exemplen. Av reglerings- och säkerhetsskäl kan Fingerprint inte ha medarbetare i ett mindre antal länder. Företaget arbetar helt på distans och medarbetare kan finnas i nästan vilket land som helst, men vi sponsrar inte visum. Medarbetare måste ha rätt att arbeta från sin bostadsort. Vi vill skapa en inkluderande arbetsmiljö. Vi välkomnar och uppskattar varje medarbetares unika erfarenheter, perspektiv och kulturella bakgrund. Fingerprint strävar efter att alla ska känna sig respekterade, uppskattade och stärkta. Medarbetarna bidrar aktivt till en inkluderande arbetsplats. Vi uppmuntrar särskilt personer som är underrepresenterade inom teknik att söka. Om du söker som bosatt i Kalifornien ska du läsa vårt CCPA-meddelande här. Om du söker som bosatt i EU ska du läsa vårt GDPR-meddelande här. Vi har sett fler rekryteringsbedrägerier där bedragare försöker få tillgång till kandidaters personliga och ekonomiska uppgifter genom falska intervjuer och erbjudanden. Alla rekryteringsmeddelanden från Fingerprint kommer alltid från domänen @fingerprint.com. Ignorera kontaktförsök som utger sig för att komma från Fingerprint men använder andra avsändare.