Ingeniero de Seguridad

• Gestión de incidentes: Sólida experiencia en respuesta/detección de incidentes.

El desarrollo de productos solía significar escribir código manualmente, realizar análisis, diagnosticar errores y lanzar cambios utilizando docenas de herramientas.

PostHog hace que los productos sean autónomos. Es la única plataforma que actúa como un copiloto para ti (y para tus agentes de IA) para que lo hagas todo, de forma autónoma.

Empezamos con analítica de producto de código abierto, lanzados en la promoción W20 de Y Combinator. Desde entonces hemos sacado más de una docena de productos, entre ellos:

• PostHog Desktop, la única herramienta de desarrollo de IA que entiende tu producto, no solo tu base de código.

• Un almacén de datos integrado, para que los usuarios puedan consultar datos de productos y clientes juntos mediante insights de SQL personalizados.

• PostHog AI, un analista impulsado por IA que responde preguntas sobre el producto, ayuda a los usuarios a encontrar grabaciones de sesiones útiles y escribe consultas SQL personalizadas.

Somos:

1. Product-led. Más de 450.000 organizaciones han instalado PostHog, impulsadas principalmente por el boca a boca. Tenemos un product-market fit intensamente fuerte.

2. Default alive. Los ingresos crecen increíblemente rápido y somos muy eficientes. Recaudamos dinero para impulsar la ambición y crecer más rápido, no para mantener las luces encendidas.

3. Bien financiados. Hemos recaudado más de 180 millones de dólares de algunos de los mejores inversores del mundo. Estamos preparados para un viaje largo y ambicioso.

Nos centramos en construir un producto increíble para los usuarios finales, contratar compañeros excepcionales, lanzar rápido y ser lo más raros posible.

• Transparencia: Todo el mundo puede leer sobre nuestra hoja de ruta, cómo pagamos (o incluso cómo despedimos) a la gente, nuestra estrategia y cómo trabajamos, en nuestro manual público de la empresa. Internamente, compartimos ingresos, notas y diapositivas de las reuniones del consejo, y planes de recaudación de fondos, para que todos tengan el contexto que necesitan para tomar buenas decisiones.

• Autonomía: No le decimos a nadie qué hacer. Cada uno elige en qué trabajar a continuación basándose en lo que tendrá el mayor impacto en nuestros clientes y en lo que encuentran interesante y motivador. Los ingenieros lideran los equipos de producto y toman decisiones de producto. Los equipos son flexibles y fáciles de cambiar cuando es necesario.

• Lanzar rápido: ¿Por qué no ahora? Queremos construir muchos productos; no podemos hacerlo lanzando a un ritmo normal. Hemos construido la empresa en torno a equipos pequeños: grupos autónomos y altamente eficientes de ingenieros cracks que pueden lanzar más rápido que empresas mucho más grandes porque son dueños de sus productos de principio a fin.

• Tiempo para construir: Nada se lanza en una reunión. Somos una empresa nativamente remota. Por defecto optamos por la comunicación asíncrona: PRs > Issues > Slack. Los martes y jueves son días sin reuniones, y priorizamos el tiempo de construcción concentrada sobre la coordinación perfecta. Este será el trabajo más productivo que hayas tenido jamás.

• Ambición: Queremos resolver grandes problemas. Creemos firmemente que aspirar al mejor resultado posible, y a veces fallar, es mejor que no intentarlo nunca. Somos optimistas sobre lo que es posible y nuestra capacidad para lograrlo.

• Ser raros: Ser raro significa rediseñar un sitio web que ya es de clase mundial por quinta vez. Significa lanzar literalmente cada producto que se relacione con los datos de los clientes. Significa construir un juguete para desarrolladores objetivamente innecesario con un valor dudoso para los accionistas. Hacer cosas raras es una ventaja competitiva. Y es divertido.

Buscamos un experto generalista en seguridad (en la UE/Reino Unido) para ayudar con todo lo relacionado con la seguridad en PostHog. Alguien igualmente capaz (¡e interesado!) en construir librerías seguras, escribir reglas de semgrep, reforzar despliegues en la nube, mejorar la observabilidad de la red y liderar la respuesta ante incidentes.

Alguien que tome las riendas de nuestras operaciones de seguridad, desarrolle nuestros canales de detección y garantice que, cuando algo ocurra inesperadamente por la noche, tengamos la observabilidad para saber exactamente qué ha pasado.

Somos un equipo que está construyendo productos y agentes de seguridad internos, como agentes para clasificar automáticamente las alertas de Wiz, revisar automáticamente los pull requests o asignar automáticamente los hallazgos de vulnerabilidades al equipo de producto responsable.

En este puesto podrás:

• Construir desde cero: No vas a mantener el SIEM heredado de otra persona. Vas a dar forma al equipo de seguridad, la cultura y las herramientas para una empresa de código abierto de alto crecimiento.

• Cero burocracia: Odiamos las reuniones. No tenemos "Comités de Seguridad". Tienes la autonomía para realizar cambios y moverte rápido.

• Transparencia: Trabajamos de forma abierta. Podrás ver (y contribuir a) cómo gestionamos incidentes pasados, como este compromiso de un paquete NPM.

• Impacto directo: Tu trabajo protege directamente los datos de miles de clientes. Cuando mejoras nuestra postura de seguridad, toda la empresa (y nuestra comunidad) lo siente.

• Clasificar y ajustar: Te encargarás de nuestras alertas de Wiz. Serás responsable de convertir el "ruido" en "hallazgos accionables" y de asegurar que no nos quedemos mirando un panel de problemas que en realidad no importan. Ya recibimos relativamente pocas alertas, y nos gustaría reducirlas aún más para quedarnos solo con las que importan.

• Detección y respuesta ante incidentes: Liderarás la carga en los incidentes de seguridad. Ya sea un paquete NPM comprometido o un patrón de IAM sospechoso, ayudarás a coordinar la respuesta y liderarás el post-mortem. También ayudarás a construir nuestros manuales de respuesta ante incidentes (IR runbooks).

• Construir observabilidad: Construirás canales de detección y cerrarás nuestras brechas de observabilidad basadas en la red. Queremos ser capaces de rastrear las solicitudes de red y la actividad sospechosa hasta llegar a rutas de código específicas.

• Búsqueda de amenazas (Threat Hunting): Buscarás amenazas de forma proactiva en nuestro entorno AWS. No te limitarás a esperar una alerta; definirás cómo es lo "bueno" y construirás la telemetría para demostrarlo.

• El VDP: Apoyarás nuestro Programa de Divulgación de Vulnerabilidades, clasificando informes de investigadores y, eventualmente, llevándonos hacia un programa formal de bug bounty.

• Capacitar al equipo: Apoyarás a nuestros escuadrones de producto con el modelado de amenazas y revisiones de diseño seguro. No decimos "Seguridad dice que no"; decimos "Seguridad dice 'así es como puedes hacer esto de forma segura'".

• Ayudar a construir nuestra cultura de seguridad: Nuestros ingenieros confían en el equipo de seguridad y ven la seguridad como un facilitador. Serás una parte crucial para ayudar a continuar esta excelente (e inusual) relación de trabajo.

Aunque este no es un rol de seguridad corporativa (MDM, endpoint, confianza de dispositivos) o de endurecimiento de la cadena de suministro/CI-CD, al puro estilo de PostHog, también hay oportunidades para trabajar en ello.

• Cloud Native: Tienes más de 3-5 años de experiencia en ingeniería de seguridad con un fuerte enfoque en AWS. Conoces IAM, los logs de VPC y CloudTrail como la palma de tu mano.

• Especialista en detección: Has utilizado herramientas CSPM/CNAPP (como Wiz o Prisma) y, lo que es más importante, sabes cómo construir canales de detección en los que los ingenieros confíen realmente.

• Probado en combate: Has liderado la respuesta ante incidentes anteriormente. Mantienes la calma bajo presión y sabes cómo coordinar equipos para contener una amenaza.

• Alta autonomía: No tenemos un SOC de seguridad. Estarás construyendo esta función desde cero, por lo que debes sentirte cómodo decidiendo qué es importante y ejecutándolo sin un manual.

• Habilidades de ingeniería: Aportas una sólida experiencia en ingeniería y, además de profundizar en el código para entender un exploit o una vulnerabilidad, puedes escribir código con la misma competencia que nuestros ingenieros de producto.

• Comunicación y actitud: Como se mencionó anteriormente, no decimos "Seguridad dice que no", decimos "Seguridad dice 'así es como puedes hacer esto de forma segura'". Esto es crucial para nosotros; necesitamos personas que quieran capacitar a los ingenieros y trabajar con ellos, no limitarlos.