Brasilien
Pavago
XP Inc.
Senior AppSec Analyst
Brasilien
São Paulo, São Paulo, Brazil
TypeScriptPythonJavaAWSKubernetesC#Go
Automatische Übersetzung. Prüfe das Original.
Über uns
XP Inc. ist eine der größten unabhängigen Finanzinstitutionen Brasiliens und Eigentümer der Marken XP, Rico, Clear, XP Educação, InfoMoney und anderer. Mit über 4,6 Millionen aktiven Kunden und über R$ 1,1 Billionen an verwahrten Vermögenswerten hat das Unternehmen seit 25 Jahren den Finanzmarkt umgestaltet, um das Leben der Menschen zu verbessern.
Mit einer ausgeprägten Kultur, die von vier Werten geleitet wird – Groß träumen, Unternehmergeist, Kundenorientierung und Offenheit – ist XP Inc. stets auf der Suche nach den besten Talenten, die den Ehrgeiz haben, das Unmögliche zu erreichen.
🚀 Über die Gelegenheit
Wir suchen einen Senior AppSec Analysten, um unser Team zu stärken und zum Schutz strategischer Anwendungen und Projekte mit hoher Wirkung beizutragen. In dieser Rolle sind Sie für die Durchführung von Sicherheitsanalysen, die Identifizierung von Schwachstellen, die Empfehlung und Erstellung technischer und prozessualer Kontrollen sowie die Sicherstellung der Ausrichtung der Lösungen an bewährten Sicherheitspraktiken und -normen verantwortlich. Wenn Sie sich für sichere Entwicklung begeistern, einen „Hands-on“-Ansatz verfolgen und proaktiv bei der Erstellung und Weiterentwicklung von AppSec-Kontrollen sind, APIs und Systemintegrationen beherrschen, Kenntnisse in der Sicherheit von künstlicher Intelligenz und LLMs haben und Teil eines dynamischen, innovativen und herausfordernden Umfelds sein möchten, ist dies die perfekte Gelegenheit für Sie!
Erfahren Sie mehr über unseren Alltag auf Instagram und LinkedIn.
Lesen Sie unsere Bewertungen auf Glassdoor.
🔍 Was wir suchen
Wesentliche Voraussetzungen
- Solide Erfahrung in Application Security, mit Tätigkeit in der Sicherheitsanalyse von Anwendungen während des gesamten SDLC (Software Development Lifecycle);
- Erfahrung mit SAST-, DAST-, SCA- und Secret-Scanning-Tools und -Prozessen (z. B. CodeQL, Sonatype, Dependabot, Snyk, Checkmarx);
- Tiefgreifende Kenntnisse der wichtigsten Referenzen für Anwendungssicherheit: OWASP Top 10 und OWASP ASVS;
- Fähigkeit, Schwachstellen zu interpretieren und zu priorisieren, Sicherheitsrisiken in klare technische Empfehlungen für Entwicklungsteams zu übersetzen;
- Erfahrung mit Sicherheit in Cloud-Native-Umgebungen (Container, Kubernetes, Serverless), vorzugsweise in Azure;
- Kenntnisse in DevOps mit GitHub Actions, einschließlich Erstellung und Wartung von Workflows, benutzerdefinierten Actions und Integration von Sicherheitstools in CI/CD-Pipelines;
- Proaktives und praxisorientiertes Profil für die Erstellung von AppSec-Kontrollen, wie z. B. Implementierung von Projekten, Automatisierungsskripten, Guardrails, Security-as-Code-Richtlinien und Integrationen in Pipelines;
- Solide Kenntnisse in RESTful APIs und Systemintegrationen, einschließlich Sicherheit von APIs (Authentifizierung, Autorisierung, Ratenbegrenzung, Payload-Validierung, OWASP API Security Top 10) und Verbrauch von Webhooks und SDKs zur Automatisierung von Sicherheitsprozessen;
- Kenntnisse in künstlicher Intelligenz, LLMs und angewandter Sicherheit, einschließlich Verständnis der spezifischen Risiken von Sprachmodellen (Prompt Injection, Data Leakage, Jailbreaking, OWASP Top 10 for LLM Applications) und der Fähigkeit, die Sicherheit von Lösungen zu bewerten, die generative KI nutzen;
Vorteile
- Erfahrung mit AppSec im Finanzmarkt (BACEN-, CVM-Regulierung, PCI-DSS);
- Erfahrung in der Konfiguration und dem Betrieb von Security Gates in CI/CD-Pipelines (GitHub Actions, Azure DevOps, Jenkins);
- Entwicklung in einer Programmiersprache (z. B. Python, C#, Go, Java, TypeScript), mit der Fähigkeit, Code zur Sicherheitsautomatisierung, zur Erstellung interner Tools und zur Analyse von Schwachstellen auf Quellcode-Ebene zu lesen, zu überprüfen und zu schreiben;
- Relevante Zertifizierungen: GWEB, GWAPT, CEH, AWS/Azure Security Specialty unter anderem.
- Fortgeschrittene Englischkenntnisse für die Kommunikation mit Partnern, Lieferanten und globalen Sicherheitsgemeinschaften.
🎯 Herausforderungen und Wirkung
- Durchführung von Sicherheitsanalysen von Anwendungen, APIs und Microservices, Identifizierung von Schwachstellen und Vorschlag von Korrekturen, die an bewährte Praktiken für sichere Entwicklung angepasst sind;
- Strukturierung und Betrieb des AppSec-Programms, einschließlich Schwachstellenmanagement (SAST/DAST/SCA), Alarm-Triage und Überwachung von Behebungsplänen;
- Durchführung von Threat Modeling und Sicherheitsüberprüfungen von Softwarearchitekturen mit Schwerpunkt auf der Sicherheit von RESTful APIs, Authentifizierung/Autorisierung (OAuth 2.0, OpenID Connect, JWT), Kryptographie und Schutz sensibler Daten;
- Proaktive Erstellung und Weiterentwicklung von AppSec-Kontrollen durch Automatisierung von Sicherheitsprozessen, Erstellung von Härtungsskripten, Richtlinien als Code und native Integrationen in CI/CD-Pipelines;
- Entwicklung von Integrationen zwischen Sicherheitstools (SIEM, Ticketing, Dashboards, Scanner) über APIs, Webhooks und SDKs, wodurch automatisierte Reaktions- und Orchestrierungsökosysteme geschaffen werden;
- Bewertung der Sicherheit von Lösungen, die auf künstlicher Intelligenz und LLMs basieren, Identifizierung von Risiken wie Prompt Injection, Data Poisoning, Offenlegung sensibler Daten und Halluzinationen sowie Vorschlag spezifischer Kontrollen zur Minderung;
- Zusammenarbeit mit DevOps- und Engineering-Teams zur automatisierten und reibungslosen Integration von Sicherheit in CI/CD-Pipelines (Shift-Left);
- Anleitung von Entwicklern durch Richtlinien, Schulungen und Code-Reviews, die sich auf sichere Codierungspraktiken und bewährte Sicherheitspraktiken bei der Entwicklung und Nutzung von APIs konzentrieren;
- Auf dem Laufenden bleiben über aufkommende Schwachstellen, kritische CVEs, neue Angriffstechniken und Trends in der Software-, APIs- und künstlichen Intelligenz-Sicherheit;
⏳ Prozessschritte
- Erste Vorauswahl: Überprüfung des Lebenslaufs zur Feststellung der Eignung für die Qualifikationen und Anforderungen der Stelle.
- Allgemeine Tests: Bewertung der kulturellen Übereinstimmung mit dem Mindsight-Test und dem logischen Denktest von Predictive Index.
- Interview mit dem Recruiting-Team: Besprechung der Erwartungen an die Stelle und der beruflichen Ziele.
- Technische Bewertung: Interview mit Fokus auf die für die Funktion erforderlichen spezifischen Fähigkeiten.
- Interview mit der Führungskraft: Ein Gespräch zur Erörterung Ihrer Vision und wie Sie zum Team und zum Unternehmen beitragen können.
- Interview mit Kollegen: Interaktion mit zukünftigen Kollegen zur Bewertung der Synergie und Teamarbeit.
- Angebot: Präsentation des Arbeitsangebots, einschließlich Details zu Vergütung und Leistungen.
Flexibles Präsenz-Arbeitsmodell
Unser Arbeitsmodell variiert je nach Funktion und kann für Geschäftsbereiche vollständig vor Ort und für andere Teams flexibler sein.
Wir verfolgen ein Modell mit häufigerer Präsenz, aber immer geleitet von Flexibilität und Autonomie mit der Verantwortung unserer Unternehmenskultur.
Hier bei XP Inc. schätzen wir persönliche Interaktionen und glauben, dass das Büro ein Werkzeug zur Stärkung unserer Arbeitsbeziehungen ist.
*Mit der Fortsetzung der Bewerbung erklären Sie, dass Sie die Datenschutzrichtlinie der XP Inc.-Gruppe und ihrer Lieferanten und Partner, die den Auswahlprozess unterstützen, gelesen, verstanden und zugestimmt haben. Die XP Inc.-Gruppe kann Lösungen für künstliche Intelligenz nutzen, um das Recruiting-Team während des Prozesses zu unterstützen, was die Verarbeitung Ihrer persönlichen Daten zu diesem Zweck gemäß den Grundsätzen des General Data Protection Law und der Datenschutzrichtlinie der XP Inc.-Gruppe beinhalten kann.
Leistungen
Gesundheit und Wohlbefinden
- Krankenversicherung
- Zahnversicherung
- Wellhub (Gympass)
- Zenklub
- Lebensversicherung
- iFood Benefits (flexibler VA und VR)
- Fahrtkostenzuschuss
- New Value (Benefit Club)
- Elternzeit: Mutterschaftsurlaub von 6 Monaten und Vaterschaftsurlaub von 20 Tagen.
- Kinderbetreuungszuschuss
Finanzielle Angelegenheiten
- Exklusive Investmentfonds
- Investmentberatung
- XP Visa Infinite Karte ohne Jahresgebühr
- Kredite (Ratenkredit, Eigenheimfinanzierung, Immobiliendarlehen usw.)
Mehr Möglichkeiten mit einem Profil
Für mehr Stellen berücksichtigt werden, ohne den ganzen Prozess zu wiederholen? Erstellen Sie Ihr Profil, damit Unternehmen auf Nort Sie finden.
Profil erstellen