États-Unis
SanMar- External
AvePoint
Architecte principal de la sécurité, résilience des identités
États-Unis
New York, New York, United States
Traduction automatique. Consultez l’original.
À propos de AvePoint
Au-delà de la sécurité. AvePoint est le leader mondial de la sécurité, de la gouvernance et de la résilience des données, allant au-delà des solutions traditionnelles pour garantir une base de données robuste et permettre aux organisations du monde entier de collaborer en toute confiance. Plus de 25,000 clients dans le monde s'appuient sur la plateforme de confiance AvePoint pour préparer, sécuriser et optimiser leurs données critiques au sein de Microsoft, Google, Salesforce et d'autres environnements collaboratifs. Le programme mondial de partenaires de distribution de AvePoint comprend environ 5,000 fournisseurs de services gérés, revendeurs à valeur ajoutée et intégrateurs de systèmes, nos solutions étant disponibles sur plus de 100 places de marché cloud. Pour en savoir plus, visitez avepoint.com.
À propos du poste
Chez AvePoint, nous nous engageons à investir dans nos collaborateurs. L'agilité, la passion et l'esprit d'équipe nous permettent de donner le meilleur de nous-mêmes et de favoriser une culture où vous êtes encouragé à construire votre carrière, à avoir un impact et à prendre en main notre avenir commun. Libérez votre potentiel !
L'architecte principal pour la sécurité des identités agira en tant qu'autorité technique supérieure pour l'architecture de sécurité des initiatives de résilience des identités de AvePoint. Ce rôle se concentre sur la manière dont les fournisseurs d'identité d'entreprise, les plans de contrôle d'identité, les systèmes d'accès privilégié, les identités d'application et les environnements d'identité hybrides sont sécurisés, approuvés, contenus, récupérés et validés avant, pendant et après un sinistre ou une compromission d'identité. Active Directory et Microsoft Entra ID sont deux des plateformes d'identité les plus importantes pour ce rôle, mais le périmètre est plus large que celui d'un seul fournisseur.
Ce rôle est volontairement distinct de celui d'un architecte de sauvegarde et de récupération spécifique à une plateforme. Les architectes de sauvegarde et de récupération peuvent être responsables de l'architecture principale de sauvegarde, de restauration, de retour arrière, de topologie et de source d'autorité pour des plateformes spécifiques. Cet architecte de sécurité des identités est responsable du modèle de menace, de la sécurité du plan de contrôle, du modèle de confiance de récupération, des points d'intégration de la réponse aux incidents, des garde-fous de restauration sécurisée et des exigences de validation post-récupération qui garantissent que les plateformes de résilience des identités peuvent être considérées comme fiables dans des conditions adverses.
Le candidat idéal possède une expérience pratique approfondie de la sécurisation d'environnements d'identité d'entreprise complexes, notamment Active Directory, Microsoft Entra ID, l'identité hybride, l'accès privilégié, les identités d'application et de charge de travail, la fédération, les intégrations de gouvernance des identités et la réponse aux incidents liés aux identités. Il est capable de dialoguer de manière crédible avec les CISO, les architectes d'identité, les intervenants en cas d'incident, les ingénieurs de plateforme et les responsables de produits, tout en traduisant cette expertise en architecture de produit, en exigences de sécurité et en conseils de récupération destinés aux clients.
Il ne s'agit pas d'un rôle générique de gouvernance IAM ni d'un rôle pur d'analyste SOC. La personne idéale comprend l'identité comme une infrastructure de niveau 0, sait comment les attaquants persistent à travers les systèmes d'identité et peut concevoir des flux de travail produits qui aident les clients à se préparer, à récupérer et à valider un état de confiance connu après un incident grave.
Les responsabilités spécifiques incluent, sans s'y limiter :
- Prendre en charge l'architecture de sécurité des plateformes de résilience des identités de AvePoint, y compris la modélisation des menaces, les critères de confiance de récupération, les mesures de protection des accès privilégiés, les garde-fous de restauration sécurisée et les flux de travail de validation post-récupération pour les principaux fournisseurs d'identité d'entreprise.
- Collaborer avec les architectes de sauvegarde et de récupération des plateformes pour garantir que les flux de travail de restauration d'identité, de récupération des relations, de récupération des politiques et de source d'autorité fonctionnent en toute sécurité dans des conditions de violation, et pas seulement lors d'une récupération administrative normale.
- Définir le modèle de sécurité de niveau 0 du produit, y compris le moindre privilège, l'élévation juste à temps, l'isolation des identifiants, l'utilisation de gMSA, les attentes concernant les stations de travail d'accès privilégié, la gestion des accès d'urgence (break-glass), les comptes de service sécurisés, les pistes d'audit immuables et la séparation des permissions de surveillance et de restauration.
- Concevoir les exigences de sécurité pour la protection du plan de contrôle de sauvegarde : rôles d'administrateur, permissions des applications de service, permissions consenties, contrôles de stockage BYOS, restrictions réseau, gestion des clés, approbations de suppression, résistance à la falsification de la rétention et validation de l'intégrité des données de récupération.
- Définir comment le produit doit prendre en charge la préparation à la récupération avant une violation, y compris la documentation de l'état connu, l'inventaire des objets d'identité critiques, les conseils de validation des accès d'urgence, la validation des permissions de restauration et la préparation aux communications hors bande.
- Architecturer des flux de travail sécurisés pour les phases de récupération après une violation d'identité : contrôle de confiance, support de détection et de triage, transfert de confinement des utilisateurs, transfert de confinement des identités d'application et de charge de travail, examen de la persistance, portes de décision de confiance de l'environnement, restauration vers un état connu, récupération des charges de travail en aval et validation.
- Traduire les modèles d'attaque et de persistance des identités en exigences produit, y compris les enregistrements d'applications malveillantes, l'abus d'identifiants de principaux de service, les octrois de consentement illicites, la falsification des politiques d'accès, les changements d'affectation de rôles privilégiés, les changements de fédération ou de confiance risqués, la persistance des utilisateurs invités et l'abus d'appartenance à des groupes.
- Définir les exigences de transfert de confinement pour les équipes de sécurité des identités, y compris quand le produit doit guider ou avertir les clients concernant la révocation des jetons/sessions, le séquençage de la réinitialisation des mots de passe, la rotation des identifiants des principaux de service, la désactivation des applications, l'examen du consentement de l'administrateur et les contrôles d'accès conditionnel d'urgence.
- Concevoir des modèles de récupération sécurisés pour l'accès conditionnel, y compris la validation des dépendances, la protection des comptes d'urgence, la gestion de l'état des politiques, les options de restauration en mode désactivé/rapport uniquement lorsque cela est pris en charge, et les points de contrôle d'approbation avant la réactivation des politiques à fort impact.
- Concevoir les exigences de sécurité pour la récupération des applications, y compris les secrets d'application générés, les nouveaux ID de clé, le re-consentement aux permissions API, les mises en garde concernant les permissions des applications d'entreprise, la validation du SSO/provisioning, les flux de travail de rotation des identifiants et le reporting sécurisé des secrets ou des tâches de remédiation.
- Définir comment le produit doit comparer l'état actuel aux sauvegardes connues sans surestimer la détection : objets post-point de récupération, changements dans les affectations privilégiées, changements dans les identifiants d'application, politiques d'accès conditionnel modifiées, emplacements nommés modifiés et appartenances modifiées.
- Prendre en charge le modèle de validation de sécurité après restauration : validation des objets critiques, validation des accès privilégiés, validation des applications/principaux de service, validation des dépendances d'accès conditionnel, validation des accès d'urgence, listes de contrôle de remédiation manuelle et preuves/rapports pour les équipes de sécurité, d'audit et de conformité.
- Apporter une expertise approfondie là où les plateformes d'identité nécessitent des conseils de sécurité de récupération spécialisés, y compris le risque de confiance de forêt/domaine Active Directory, les limites de confiance des contrôleurs de domaine, la gestion des identifiants privilégiés et krbtgt, les considérations sur AD CS et l'abus de certificats, l'intégrité SYSVOL/GPO, les hypothèses de confiance DNS et le séquençage sécurisé lors de la récupération de forêt.
- Collaborer avec les équipes Produit, Ingénierie, Architecture, Sécurité et Terrain pour convertir les exigences de sécurité et de récupération en épopées, revues de conception, critères d'acceptation, plans de test et conseils de récupération destinés aux clients.
- Mener des découvertes auprès des clients et du terrain avec les CISO, les intervenants en cas d'incident, les architectes AD, les administrateurs Entra ID, les équipes de sécurité des identités, les MSP et les clients réglementés/gouvernementaux pour valider des scénarios de sécurité et de récupération réels.
- Suivre les modèles de la concurrence et du marché parmi Microsoft, Semperis, Quest, Cayosoft, Rubrik, Commvault, Veeam, CrowdStrike Identity, Microsoft Defender for Identity et les fournisseurs ITDR/résilience des identités connexes, en mettant l'accent sur les flux de travail de sécurité et de récupération plutôt que sur une comparaison générique des fonctionnalités.
- Encadrer les équipes internes d'ingénierie et de produit sur les concepts de sécurité AD/Entra, les chemins d'attaque des identités, les principes de sécurité de récupération et la manière de construire des flux de travail axés sur la sécurité pour l'infrastructure de niveau 0.
Ce que vous apporterez à notre équipe
- Licence en informatique, ingénierie, systèmes d'information, cybersécurité ou domaine technique connexe ; une expérience pratique équivalente sera fortement prise en considération.
- 12+ années d'expérience technique pratique dans l'infrastructure d'identité, l'architecture de cybersécurité, la réponse aux incidents ou l'ingénierie de sécurité, avec une spécialisation approfondie dans la sécurité des identités d'entreprise.
- Expérience directe dans la sécurisation ou la récupération d'environnements d'identité complexes, notamment Active Directory, Microsoft Entra ID, l'identité hybride, la fédération, les relations de confiance, les limites d'accès privilégié, les identités d'application, les identités de charge de travail et la préparation aux ransomwares ou aux attaques destructrices.
- Compréhension approfondie des rouages de la sécurité AD : Kerberos, NTLM, LDAP, ACL/délégation, groupes privilégiés, hiérarchisation des administrateurs, droits de réplication/DCSync, rotation krbtgt, risque de ticket golden/silver, trusts de domaine/forêt, historique SID, SPN, délégation contrainte/non contrainte/basée sur les ressources, sécurité SYSVOL/GPO, DNS et risque AD CS/PKI.
- Compréhension approfondie de l'architecture de sécurité Entra ID : accès conditionnel, PIM, rôles privilégiés, unités administratives, méthodes d'authentification, Identity Protection, enregistrements d'applications, applications d'entreprise, principaux de service, consentement OAuth, identités de charge de travail, accès inter-locataires, fédération et comportement des jetons/sessions.
- Solide compréhension de la sécurité de l'identité hybride : Entra Connect, Cloud Sync, synchronisation de hachage de mot de passe, authentification directe, AD FS/fédération, sourceAnchor/ImmutableID, correspondance stricte/souple, conflits de source d'autorité et impact d'une compromission sur site sur les environnements Microsoft 365/Entra.
- Expérience pratique des flux de travail de réponse aux incidents et de récupération des identités, y compris le confinement des utilisateurs compromis, les concepts de révocation de jeton d'actualisation/session, la réponse à la compromission d'application/principal de service, l'examen du consentement API, la rotation des identifiants, la réponse d'urgence à l'accès conditionnel et la suppression de la persistance.
- Expérience dans la conception d'architecture de sécurité pour des outils ou plateformes à haut privilège opérant sur une infrastructure de niveau 0, y compris la gestion sécurisée des identifiants, le moindre privilège, la séparation des tâches, la journalisation d'audit, la résistance à la falsification, les flux de travail d'approbation et les modèles de stockage/clés gérés par le client.
- Connaissance des exigences de reprise après sinistre et de continuité des activités pour les systèmes d'identité, y compris les compromis RTO/RPO, les bases de référence connues, les environnements de récupération propres, les décisions de récupération sur place ou dans un nouveau locataire, et la validation post-restauration.
- Capacité à traduire des exigences de sécurité complexes en exigences produit, modèles d'architecture, garde-fous de flux de travail, avertissements destinés aux clients et critères d'acceptation que les équipes d'ingénierie peuvent mettre en œuvre.
- Forte crédibilité auprès des clients, notamment les CISO, les architectes d'identité, les ingénieurs AD, les équipes SOC/IR, les responsables de la conformité et les parties prenantes exécutives.
- Capacité démontrée à diriger sans autorité hiérarchique les équipes Produit, Ingénierie, Sécurité, Architecture, Succès client, Ingénierie commerciale et partenaires.
- Bonus : Expérience de travail chez ou avec des fournisseurs qui construisent des produits de sauvegarde, de récupération, ITDR, de protection des identités ou de résilience des identités hybrides pour AD/Entra, tels que Semperis, Quest, Cayosoft, Microsoft, Rubrik, Commvault, Veeam, CrowdStrike Identity, Mandiant ou équivalent.
- Bonus : Expérience avec Microsoft Defender for Identity, Microsoft Defender XDR, Microsoft Sentinel, Splunk, CrowdStrike, Semperis DSP, Quest, Cayosoft Guardian ou des écosystèmes de détection/réponse aux identités similaires.
- Bonus : Certifications ou reconnaissances pertinentes telles que Microsoft Certified: Cybersecurity Architect Expert, Identity and Access Administrator, CISSP, GIAC, Microsoft MVP ou une expertise pratique équivalente.
La fourchette salariale pour ce poste est de 180,000k $ - 270,000 $. Chez AvePoint, nous nous efforçons d'offrir une rémunération globale compétitive, juste et équitable. La fourchette salariale indiquée représente une estimation de bonne foi, les offres finales étant basées sur le lieu, l'expérience, les compétences et les qualifications. La fourchette indiquée reflète uniquement le salaire de base ; notre rémunération globale comprend le salaire de base, des avantages sociaux complets (médical, dentaire, vision, 401(k) avec abondement, congés payés illimités) et, selon le rôle, des primes, des commissions ou des actions (RSU). Nous sommes ouverts à la discussion sur la rémunération ; postulez même si vos attentes se situent en dehors de cette fourchette.
Toutes les données personnelles que vous partagez avec nous au cours du processus de candidature seront traitées dans le strict respect des lois applicables en matière de protection des données et de notre avis de confidentialité.
Plus d’opportunités avec un seul profil
Vous souhaitez accéder à plus de postes sans répéter tout le processus ? Créez votre profil pour être trouvé par les entreprises utilisant Nort.
Créer mon profil