高级SECURE开发工程师

主要职责 · 作为高级开发人员深度参与软件/固件开发全生命周期工作，包括代码开发、测试、代码审查、架构设计、发布维护及 CI/CD 实践 · 负责在所支持团队中推动 SECURE 项目和 SSDF 落地，确保产品开发和发布生命周期符合产品安全要求，并支持高风险、复杂产品的安全治理 · 主导安全架构评审、威胁建模、代码审查和发布评审，提供代码级安全指导，并设计和实施安全控制、功能及可复用的参考实现 · 领导安全问题全生命周期管理，包括自动化扫描、评估活动、渗透测试及漏洞发现的分析、优先级评估、整改跟踪和验证关闭 · 负责产品漏洞管理（VMIRP）和安全事件响应，评估漏洞影响和可利用性，制定技术修复策略，并协调跨团队执行关键漏洞整改工作 · 分析和优化各类安全检测结果，包括 SAST、DAST、依赖项扫描、容器扫描、密钥检测、模糊测试以及 SBOM/CVE 持续监控，提高检测有效性并推动问题闭环 · 主导第三方开发伙伴、供应商组件、SDK及托管服务的安全评估和合规管理，推动风险整改并确保满足产品安全要求 · 作为产品安全技术代表，与研发、GRC、架构、工具、基础设施及评估团队协作，支持客户安全问卷（ISQ）、安全评审、QBR及安全合规相关活动 · 推动产品安全能力持续提升，包括跟踪行业标准和法规变化、参与安全标准与参考架构建设，以及指导和培养开发团队安全能力，在全球化团队环境中开展协作

· 本科及以上学历，计算机、软件、电子、电气工程或相关专业 · 8年以上软件开发经验，具备产品研发和发布经验 · 3年以上技术领导或高级开发经验，能够指导团队开展安全开发工作 · 熟悉安全编码、威胁建模、安全设计评审及漏洞修复 · 具备代码管理、代码评审、CI/CD 及 DevSecOps 实践经验 · 熟悉 SDL/SSDF 等安全开发框架及行业安全标准 · 能够分析安全扫描结果、SBOM、CVE 及复杂安全风险 · 具备优秀的中英文沟通能力，能够与客户、团队及管理层有效协作 优选知识和经验（所有技术栈）： · 具备漏洞响应及网络安全法规（如 CRA）相关经验 · 具备安全标准、安全架构或安全开发流程建设经验 · 具备客户安全审计、产品认证或第三方安全评估经验 · 具备第三方软件及供应链安全风险管理经验 · 拥有 CSSLP、CISSP、Security+ 或 GitLab Security 等安全认证者优先 技术栈 A. 嵌入式固件 · 具有丰富的面向嵌入式目标平台的 C 和/或 C++ 专业开发经验；熟悉 RTOS 和/或嵌入式 Linux（Yocto、Buildroot）；具备 OOP（面向对象编程）概念和开发经验 · 具备设计和评审安全启动（Secure Boot）、固件签名（Firmware Signing）以及安全更新架构的经验；具备 TPM、安全元件（Secure Elements）或硬件信任根（Hardware Roots of Trust）相关经验 · 具备嵌入式密码学库（如 mbedTLS、wolfSSL、OpenSSL）、密钥和凭据生命周期管理，以及制造过程中的安全配置（Secure Provisioning）经验 · 熟悉工业和管理类协议（例如 TCP/IP、Modbus、CAN、SCADA、PLC、BACnet、SNMP）及其安全弱点，包括能够影响协议设计选择 · 熟悉安全编码标准（MISRA C、SEI CERT C/C++）、静态分析以及协议模糊测试（Protocol Fuzzing），包括将其集成到团队流水线中的经验 · 具备在产品开发过程中应用 IEC 62443-4-1/4-2、UL 2900、ISO 27001 或 ETSI EN 303 645 的实际经验 · 认证（优先但非必需）：ISA/IEC 62443 网络安全基础、设计或专家认证，GIAC GICSP B. 云端/Web应用 · 具备以下一种或多种技术栈的丰富专业开发经验：Python、Java、C#/.NET、TypeScript/JavaScript 或 Go，具备 OOP（面向对象编程）概念和开发经验 · 具备 REST/GraphQL API 以及认证和授权实现（OAuth 2.0、OIDC、SAML）的设计与评审经验 · 具备 AWS 和/或 Azure、容器技术及 Kubernetes，以及基础设施即代码（Infrastructure as Code，例如 Terraform）相关经验，包括为团队提供安全参考模式（secure reference patterns） · 熟悉 OWASP Top 10、API Security Top 10，以及应用安全验证标准（ASVS）；具备 DAST（动态应用安全测试）和依赖项/容器扫描经验，包括将其调整和集成到团队流水线中 · 熟悉密钥管理（Secrets Management）、多租户数据隔离（Multi-tenant Data Isolation）以及云身份与访问管理模式（Cloud Identity and Access Patterns） · 认证（优先但非必需）：GIAC GWEB、AWS Certified Security – Specialty、Microsoft AZ-500、CCSP、CKS、EC-Council CASE（Java/.NET） C. 桌面/本地部署软件 · 具备使用 C#/.NET、C++ 和/或 Java 开发 Windows 和/或 Linux 应用程序的丰富专业开发经验，具备 OOP（面向对象编程）概念和开发经验 · 具备安装程序（Installer）、软件打包（Packaging）以及更新安全（Update Security）的设计和评审经验；熟悉代码签名（例如 Authenticode）和发布完整性（Release Integrity） · 熟悉最小权限（Least Privilege）服务设计、本地 IPC（进程间通信）安全，以及 DLL/库文件搜索顺序和权限提升风险 · 熟悉安全更新机制、本地数据保护、嵌入式数据库安全以及安全的客户端-服务器通信 · 认证（优先但非必需）：GIAC GSSP-.NET、GIAC G