Ingeniero de Seguridad Líder

Estamos contratando a un ingeniero de seguridad con perfil práctico para ser el responsable técnico del equipo de Seguridad de Buffer. Trabajarás junto a Adnan, quien ha liderado la seguridad en Buffer durante años. Juntos, os encargaréis de la seguridad y el cumplimiento de una empresa rentable con 15 años de trayectoria que se está reconstruyendo en torno a la IA.

Dos cosas hacen que este sea el momento adecuado. La superficie de producto de Buffer está creciendo: en mayo lanzamos una API GraphQL pública con un servidor MCP y una CLI. Más de 35.000 organizaciones han conectado una herramienta de IA a Buffer, y estamos planeando construir un ecosistema de plugins sobre ella. Internamente, nos estamos convirtiendo en una organización nativa de IA: MCPs en nuestro plan Claude Team, conectores personalizados, herramientas internas y Roo, nuestro propio agente interno. Somos pequeños y ágiles, con pocos procesos, y funcionamos basándonos en la confianza en cuanto a accesos y permisos. No queremos perder eso, pero la superficie ahora crece más rápido de lo que una sola persona puede cubrir.

Eso significa que el manual de seguridad habitual no funcionará aquí. No compramos planes empresariales para cada herramienta, y no hacemos que la gente justifique cada solicitud de acceso. Harás que el camino seguro sea el camino fácil de seguir.

Tu función será marcar la dirección de seguridad en Buffer y hacer gran parte del trabajo tú mismo. Decidirás qué problemas de seguridad abiertos abordar primero, escribirás código para corregir algunos de ellos y liderarás los incidentes cuando ocurran. Buscamos a alguien que facilite el trabajo y sea un jugador de equipo, no un portero. Este es un puesto generalista por diseño.

• 🧭 Liderar la seguridad en Buffer. Definir la estrategia y la hoja de ruta, establecer prioridades, impulsar la ejecución y cambiar nuestra forma de trabajar donde sea necesario. Si ves un problema que no es de tu competencia directa, dilo e impulsa la solución.

• 🧰 Construir. Identificar el problema, definir la solución y luego construirla con Adnan: herramientas, automatización, procesos.

• 🔁 Integrar la seguridad en el ciclo de desarrollo. Supervisar cada PR, realizar modelado de amenazas en las especificaciones técnicas, higiene de dependencias, secretos y cadena de suministro, y revisar los pasos que se mantengan vigentes a medida que escribimos más código con agentes de IA.

• 🔐 Avanzar en la seguridad operativa. Asegurar nuestras operaciones diarias para cumplir con los estándares de la industria, manteniendo al mismo tiempo la flexibilidad que ofrece el entorno de alta confianza de Buffer.

• 💡 Mantener todo en marcha. Bandeja de entrada de seguridad, solicitudes de otros equipos, mantenimiento y tareas rutinarias, compartido con Adnan. Mucho de esto es manual hoy en día, y nos encantaría que automatices todo lo que puedas.

• 🚨 Liderar incidentes y participar en nuestra rotación de guardia de toda la ingeniería. Establecer el estándar de cómo gestionamos un incidente de seguridad y asegurar que el equipo lo cumpla. Realizar simulacros (tabletops) con el resto de Ingeniería y garantizar que se solucionen las brechas.

• 🤖 Asegurar la superficie de IA. Realizar el modelado de amenazas de lo que estamos construyendo, desde agentes con acceso a herramientas hasta conectores e IA integrada en el producto, y establecer salvaguardas para que Buffer pueda avanzar rápido en IA sin tener que adivinar.

• 🐛 Gestionar la divulgación de vulnerabilidades. Clasificar informes de investigadores externos, solucionar o derivar los reales y decidir cómo crece el programa.

• 🤝 Responsabilizarse del cumplimiento y la confianza del cliente. SOC 2 y el cumplimiento de la plataforma Meta son los más importantes hoy en día. Queremos que hagan a Buffer más seguro, no solo para pasar auditorías, sino también para automatizar la obtención de evidencias siempre que puedas. Los cuestionarios de seguridad nos llegan a través de Advocacy. Ayuda a responderlos y construye lo que permita a los clientes encontrar respuestas por sí mismos (un Trust Center, por ejemplo).

Cream software de gestión de redes sociales y construcción de marca para pequeñas empresas, creadores e individuos. Nuestra misión es proporcionar herramientas esenciales para ayudar a las pequeñas empresas a despegar y crecer. A través de un servicio al cliente excepcional y contenido motivador, ayudamos a nuestros clientes a creer que pueden tener éxito y hacer el bien en el camino.

Buffer es un equipo totalmente distribuido y siempre hemos aspirado a hacer las cosas de forma un poco diferente. Desde nuestros inicios, nos hemos centrado en construir uno de los lugares de trabajo más únicos y gratificantes mediante el replanteamiento de muchas prácticas tradicionales. Además, apostamos por la transparencia por defecto, de modo que puedes leer todo sobre nuestras métricas, así como nuestros éxitos y fracasos a lo largo del camino en nuestro Transparency Dashboard.

Nos unen los valores de Buffer, y contratamos y trabajamos desde todo el mundo. Nos esforzamos por crear un entorno de trabajo diverso e inclusivo, y estamos construyendo una cultura donde los grupos infrarrepresentados sean bienvenidos y puedan prosperar. Ten en cuenta que viajamos para trabajar juntos en persona una o dos veces al año, y se recomienda encarecidamente asistir a esos eventos para crear conexiones más profundas entre nuestro pequeño equipo.

A medida que conozcas Buffer y consideres unirte al viaje, puedes obtener más información sobre Buffer en nuestra página Journey. ¿Sigues teniendo curiosidad por saber más sobre la experiencia en el equipo de Buffer? No dudes en leer más sobre Kirsti y Sabreen, mientras comparten sus primeras experiencias con Buffer, así como de Hailley, quien ha plasmado por qué sigue llamando a Buffer su hogar después de más de 8 años.

Aunque es poco habitual en Buffer, buscamos personas en un rango de zona horaria específico. Este puesto está abierto actualmente a candidatos que residan entre UTC-3 y UTC+3. Esto te permitirá solapar tu horario con nuestro actual ingeniero de seguridad en Sri Lanka y con la mayor parte de nuestro equipo de Ingeniería, permitiendo que ambos compartáis la cobertura de incidentes para que ninguno de los dos tenga que trabajar durante la noche.

• Has sido la persona senior de seguridad en algún lugar sin un CISO por encima. Sabes lo que significa marcar el rumbo sin un mandato oficial y ganártelo a través del trabajo.

• Tienes experiencia práctica en seguridad de aplicaciones y APIs en un entorno SaaS multi-inquilino, idealmente uno con una API pública: modelos de autorización, OAuth y OIDC, flujos de sesión y autenticación, IDOR y SSRF, y modelado de amenazas. Has encontrado estos errores y los has solucionado, no solo los has reportado.

• Escribes código. Puedes leer y modificar una base de código en TypeScript lo suficientemente bien como para lanzar una solución y revisar la de otra persona (el PHP y Python heredados también aparecen ocasionalmente).

• Has liderado incidentes de seguridad de principio a fin, incluyendo la redacción de actualizaciones de estado, comunicaciones con clientes y postmortems que la gente utiliza para actuar.

• Has trabajado con AWS, Kubernetes y Cloudflare, o similares, lo suficiente como para razonar sobre riesgos de infraestructura con un equipo de infraestructura. No necesitas gestionarlo tú mismo/a.

• Has gestionado un programa SOC 2 o similar, o has trabajado estrechamente con uno, y prefieres automatizar la recopilación de evidencias en lugar de hacerlo a mano.

• Has gestionado o clasificado un programa de divulgación de vulnerabilidades o de bug bounty, y puedes distinguir rápidamente un informe real del ruido.

• Tienes opiniones sólidas, pero sabes no aferrarte a ellas de forma rígida. Te sientes cómodo/a discrepando del diseño de un ingeniero senior y trabajando juntos para encontrar la mejor solución (a veces cambiando de opinión cuando su argumento es mejor).

• Eres fluido/a con las herramientas modernas de IA y las utilizas para multiplicar tu rendimiento y el de tu equipo. Has reflexionado profundamente sobre cómo asegurar los sistemas que las utilizan.

• Te desenvuelves bien en entornos remotos y asíncronos, y cumples con tus compromisos. Eres claro/a en tu pensamiento y generoso/a con el contexto, y cierras el ciclo de aquello con lo que te comprometes. La mayor parte de tu influencia aquí será escrita.

• Puntos extra si ya eres usuario de Buffer o estás familiarizado/a con las herramientas de gestión de redes sociales.

• Producto. Node.js (TypeScript) en la mayoría de los servicios en un monorepo, respaldado por MongoDB; una API REST y PHP que se están retirando para servicios heredados. Aplicaciones iOS y Android. Una API GraphQL pública, servidor MCP, CLI y conectores.

• Infraestructura. AWS (EKS, IAM, SQS, S3, CloudFront), Terraform, ArgoCD, GitHub Actions, Cloudflare (WAF, Zero Trust, Workers, DNS).

• Seguridad y cumplimiento. Vanta para SOC 2, Dependabot, gitleaks, AWS GuardDuty, Cloudflare WAF y Zero Trust, Action1 para la gestión de dispositivos, 1Password y Google Workspace como capa de identidad.

• Observabilidad e incidentes. Datadog, Sentry, incident.io y PagerDuty.

• IA. Claude Team en toda la empresa, agentes internos y servidores MCP desarrollados internamente, funciones de IA integradas en el producto.

¿Crees que encajas en este puesto y quieres unirte al equipo de Buffer? ¡Nos encantaría saber de ti!

Así es como es nuestro proceso de contratación:

1. Solicitud. Un formulario corto con tu CV, LinkedIn, algunas preguntas de sí/no y un ejemplo de tu redacción.

2. Cuestionario. Si hay coincidencia, te enviaremos por correo electrónico un breve conjunto de preguntas para conocerte un poco mejor.

3. Proceso de entrevistas: Reuniones con varios compañeros a través de algunas llamadas de Zoom, empezando por Miguel, Engineering Manager de Infraestructura y Seguridad, y el responsable de la contratación para este puesto, y luego un puñado de otros compañeros y pares de Buffer.

4. Ejercicio para realizar en casa. Durante nuestro proceso de entrevistas, te pediremos que realices una tarea asíncrona para que podamos ver tu trabajo en la práctica y discutirlo en directo.

5. Conoce al CEO. Conoce a Joel, nuestro Fundador y CEO.

6. Periodo de colaboración. Dos días pagados trabajando con el equipo en un proyecto real, para que cada uno pueda ver cómo es trabajar juntos.