Ingeniero DevSecOps Sénior

Buscamos un ingeniero con pasión por aprender y cuyo enfoque sea la construcción de "paved roads" (caminos pavimentados), específicamente para que la entrega segura sea parte de nuestra forma de construir y lanzar software. Operarás los controles y flujos de trabajo en torno a nuestro pipeline de entrega, ayudarás a los ingenieros a actuar ante hallazgos útiles y harás que las excepciones rutinarias sean sencillas bajo las políticas acordadas.

Esperamos que apliques el mismo cuidado a la fiabilidad de un control de seguridad y al tiempo que le cuesta a un ingeniero, que el que aplicas al riesgo que este aborda. Construirás las integraciones, aprenderás del despliegue y mantendrás lo que lances.

Tenemos clientes notables como Notion, Linear, Shopify y Snowflake. Nuestras métricas de crecimiento y retención son de las mejores de nuestro sector: tenemos decenas de millones en ARR, con un crecimiento >100% interanual, más de 2500 clientes, un churn muy bajo y muchos años de runway. Compartiremos más detalles cuando nos conozcamos, pero probablemente ya tengas una idea de por qué estamos contratando para este puesto 😅.

Tu misión es hacer que nuestro pipeline de entrega sea seguro por defecto en todo el código de las aplicaciones, la infraestructura, las dependencias, los contenedores y la configuración del producto. Te encargarás de la implementación técnica y la operación de las herramientas y controles de seguridad de la entrega, incluyendo la integración, configuración, ajuste, fiabilidad y cobertura.

Los equipos de Product Engineering son responsables del triaje y la remediación de las funcionalidades que mantienen. Application Security proporciona análisis especializados y define los requisitos de las pruebas de seguridad del producto. Infrastructure mantiene la propiedad de la plataforma en la nube subyacente. Trabajarás con esos equipos para que los controles y políticas acordados se ejecuten de forma fiable en el flujo de trabajo de entrega.

En la práctica, tú:

• Desplegarás, configurarás, integrarás y ajustarás el análisis estático, el escaneo de dependencias, secretos, contenedores e Infrastructure as Code en nuestros flujos de trabajo de CI/CD.

• Harás un inventario de los repositorios de producción y las rutas de entrega, incluyendo prompts y configuración de modelos. Harás que la cobertura del escáner sea distinta de las pruebas específicas de la aplicación sobre el comportamiento de la IA; AppSec define esas pruebas y tú operas los controles de entrega acordados.

• Iniciarás nuevos controles en modo de "solo reporte" cuando sea apropiado, para luego implementar las políticas de advertencia y bloqueo acordadas utilizando la explotabilidad, la exposición y los controles compensatorios.

• Ofrecerás a los ingenieros excepciones de autoservicio dentro de reglas documentadas, con un responsable, justificación, fecha de caducidad y pista de auditoría. Escalarás las decisiones que estén fuera de esas reglas al liderazgo de Security con el análisis especializado pertinente.

• Construirás automatizaciones y flujos de trabajo asistidos por IA que enriquezcan los hallazgos, propongan correcciones y apoyen el triaje de Product Engineering bajo criterios documentados. Preservarás los controles, la revisión y la reversión necesarios para los cambios de parches automatizados.

• Harás visibles la cobertura, los fallos de integración, la antigüedad de los hallazgos por riesgo, el tiempo de triaje y remediación, los bloqueos falsos, el retraso en la compilación y las elusiones. Registrarás las mitigaciones por separado de las correcciones completadas y conectarás la telemetría útil con la evidencia de GRC.

• Trabajarás con Infrastructure en el monitoreo de la postura en la nube, alertas útiles de configuraciones críticas erróneas y automatización de remediación acotada.

• Te extenderás hacia el endurecimiento (hardening) de imágenes compartidas y la procedencia de artefactos a medida que las bases de la entrega maduren.

Para aterrizarlo con ejemplos, podrías:

• Implementar el escaneo de secretos con protección de push y hacer que un push bloqueado sea comprensible y accionable para un ingeniero.

• Convertir una solicitud repetida de excepción de escáner en un flujo de trabajo de PR con un motivo, una fecha de caducidad y evidencia para revisarlo.

• Reproducir un problema de dependencia en la aplicación, añadir un control de regresión y construir un flujo de trabajo que proponga un parche con evidencia útil.

• Mostrar qué rutas de entrega están cubiertas, dónde fallan los controles y si la aplicación de políticas está abordando el riesgo manteniendo los retrasos de compilación en niveles razonables.

Hola 👋🏻 Soy Louis, Head of Security. Reportarás directamente a mí.

Lo que Ashby te ofrece a cambio es lo mejor de ambos mundos: entornos de fase inicial y de crecimiento. La agilidad y la falta de rodeos de una startup en fase semilla: contribuirás a proyectos útiles, tomarás decisiones prácticas y trabajarás en una cultura de casi ninguna reunión. El product-market fit y la escala de una startup en fase de crecimiento: decenas de miles de usuarios diarios que dependen de nuestro software y clientes cuya confianza ayudaremos a ganar con tu trabajo.

Tenemos clientes notables como Notion, Linear, Shopify y Snowflake. Nuestras métricas de crecimiento y retención son de las mejores entre nuestros pares: tenemos decenas de millones en ARR, creciendo >100% año tras año, un churn muy bajo y muchos años de runway. Compartiremos más detalles cuando nos conozcamos.

Te unirás a nuestro equipo de Security, un equipo único con múltiples especializaciones que supervisa la seguridad en toda la empresa. Yo reporto a Abhik, nuestro Co-Founder y VP of Engineering. Estamos rebosantes de ideas sobre cómo apoyar a Talent Acquisition mediante software, y hemos comenzado el viaje de construir productos más allá de Talent Acquisition. Leemos cada solicitud y nuestro objetivo es responder a la tuya en un plazo de 3-4 días (a menudo antes).

También estamos anunciando esta vacante como Senior Security Platform Engineer - Secure Delivery. Ambos títulos describen el mismo puesto; por favor, postúlate una sola vez utilizando el título que mejor refleje tu experiencia.

Has construido y operado CI/CD, herramientas para desarrolladores o automatización de infraestructura utilizada por otros ingenieros. Puedes escribir código mantenible, explicar los modos de fallo de lo que has lanzado y utilizar evidencia de seguridad para tomar una decisión de despliegue práctica. La experiencia en cadena de suministro (supply-chain) y escáneres es útil; puedes aprender las herramientas individuales como parte del trabajo.

Has aplicado IA en ingeniería y puedes explicar cómo compruebas sus resultados y permisos. Disfrutas tratando a los ingenieros como usuarios, tomando decisiones de "comprar frente a construir" (build-versus-buy) y mejorando la adopción y la fiabilidad tras el lanzamiento.

Puede que no disfrutes del rol si:

• Prefieres entregar un prototipo y delegar su operación. La fiabilidad, el ajuste y las integraciones existentes son parte del trabajo.

• Prefieres un backlog prescrito en lugar de investigar un problema ambiguo, escribir una propuesta e involucrar a otros colaboradores en el trabajo.

• Quieres que las evaluaciones independientes sean tu principal resultado. Este rol se centra en capacidades de entrega operativas y su adopción.

Para este puesto, la experiencia en CI/CD y automatización de infraestructura importa más que la familiaridad con un escáner en particular. GitHub Actions o sistemas comparables, Terraform, contenedores y controles de nube son relevantes. Debes sentirte cómodo escribiendo automatizaciones de producción en TypeScript, Python, Go o un lenguaje comparable. La elección de herramientas y las integraciones de escáneres individuales son parte del trabajo.

Tus primeros cambios te darán un recorrido por nuestra base de código, infraestructura y mejores prácticas, aumentando en alcance y ambigüedad a medida que aprendas cómo trabajamos. Harás programación en pareja (pair programming) con tu compañero de onboarding mientras aprendes los flujos de trabajo de entrega.

Tu enfoque inicial será:

• Mapear las rutas de entrega de producción y las brechas en código, infraestructura, prompts, configuración y evaluaciones, con una propiedad clara de los diferentes controles.

• Entregar una integración de escaneo acotada, como la protección de secretos en el push o el análisis estático de solo reporte, con un flujo de trabajo de hallazgos utilizable.

• Establecer las reglas iniciales de advertencia, bloqueo y excepciones de autoservicio con los socios pertinentes y hacer visible la responsabilidad de Product Engineering.

• Establecer una línea base de cobertura, fallos de integración, bloqueos falsos y retrasos de compilación para que el siguiente despliegue tenga evidencia sobre la cual construir.

Un progreso temprano significa que los ingenieros pueden usar los controles seleccionados, actuar sobre sus hallazgos y gestionar las excepciones rutinarias. El despliegue más amplio seguirá la política de riesgo acordada y lo que nos enseñe la primera integración.

El éxito de Ashby depende de contratar a gran gente y crear un entorno donde podamos ser felices, sentirnos desafiados y dar lo mejor de nosotros. Estamos siendo deliberados al construir ese entorno desde cero. Espero que esto te entusiasme lo suficiente como para postularte.

Ashby ofrece igualdad de oportunidades de empleo (EEO) a todos los empleados y solicitantes de empleo sin distinción de raza, color, religión, sexo, origen nacional, edad, discapacidad, genética, orientación sexual, identidad de género o expresión de género. Estamos comprometidos con una fuerza laboral diversa e inclusiva y damos la bienvenida a personas de todos los orígenes, experiencias, perspectivas y capacidades.

Ashby se compromete con un proceso de contratación justo y transparente. Confirmamos que este anuncio es para una vacante activa y existente dentro de nuestra organización. Se le informa que podemos utilizar herramientas impulsadas por inteligencia artificial para ayudar a nuestro equipo de selección a filtrar, evaluar y seleccionar candidatos para este puesto.