Security Engineer

Shakers; Lisboa; On-site; EUR 40,000 - 60,000; Full time

Job summary

A equipa de Shakers procura um Engineer de Segurança de Aplicações para integrar a área de segurança de um grupo europeu, com foco em Java e/ou .NET, em AWS/Azure. O papel envolve levar a segurança ao início do ciclo de desenvolvimento, coordenar pentests e apoiar a remediação até encerrar as recomendações.

Com experiência em desenvolvimento de software, o candidato deverá dominar uma das stacks Java (Spring Boot) ou C# (.NET) e possuir conhecimentos de cloud.

Qualifications

• Experiência em desenvolvimento de software e arquitetura de aplicações.
• Capacidade de atuar como Application Security Engineer desde o início do ciclo de desenvolvimento.
• Conhecimentos sólidos de OWASP Top 10 e práticas de secure coding.

Responsibilities

• Definir e promover práticas de Secure SDLC, integrando requisitos de segurança no ciclo de desenvolvimento
• Participar em revisões de arquitetura e conduzir sessões de threat modelling
• Analisar resultados de pentests, vulnerability assessments, SAST, DAST, dependency scanning e container scanning, classificando e priorizando findings
• Apoiar as equipas de desenvolvimento na remediação e acompanhar planos de correção e respetivos SLAs
• Coordenar pentests com fornecedores externos: definição de scope, validação de findings e seguimento até ao fecho
• Integrar controlos de segurança nas pipelines CI/CD e automatizar verificações
• Definir métricas e indicadores de segurança aplicacional
• Experiência prévia em desenvolvimento de software e arquitetura de aplicações, com evolução para Application Security
• Conhecimentos de cloud (obrigatório), com deployments reais de aplicações, preferencialmente AWS e/ou Azure
• OWASP Top 10, OWASP ASVS e boas práticas de Secure Coding
• Criptografia aplicada (TLS, ciclo de vida de chaves e certificados, hashing seguro)
• Gestão de segredos (secret stores, rotação, evitar segredos em código)
• Experiência com ferramentas do tipo SonarQube, Checkmarx, Fortify, Veracode, Snyk, Dependabot, OWASP ZAP, Burp Suite ou Trivy
• Capacidade de influenciar sem autoridade hierárquica e de formar equipas de desenvolvimento

Skills

Java (Spring Boot)

C# / ASP.NET

Cloud (AWS/Azure)

Secure SDLC

Threat modelling

SAST/DAST/Dependency scanning

Veracoding/ scanning tools

Secrets management

OWASP Top 10/ASVS

CI/CD security

Security tooling (SonarQube/Veracode)

Tools

SonarQube

Checkmarx

Fortify

Veracode

Snyk

Dependabot

OWASP ZAP

Burp Suite

Trivy

Job description

Procuramos um Application Security Engineer para integrar a área de segurança de um grupo europeu de referência no setor da mobilidade e infraestruturas, num ambiente Java e/ou .NET com cloud AWS e/ou Azure.

A organização quer levar a segurança para o início do ciclo de desenvolvimento, em vez de a tratar no fim. O teu papel é garantir que as equipas desenham e escrevem código seguro por defeito, coordenar pentests e avaliações de vulnerabilidades, e apoiar tecnicamente a remediação até ao encerramento das recomendações.

Responsabilidades

• Definir e promover práticas de Secure SDLC, integrando requisitos de segurança no ciclo de desenvolvimento
• Participar em revisões de arquitetura e conduzir sessões de threat modelling
• Analisar resultados de pentests, vulnerability assessments, SAST, DAST, dependency scanning e container scanning, classificando e priorizando findings
• Apoiar as equipas de desenvolvimento na remediação e acompanhar planos de correção e respetivos SLAs
• Coordenar pentests com fornecedores externos: definição de scope, validação de findings e seguimento até ao fecho
• Integrar controlos de segurança nas pipelines CI/CD e automatizar verificações
• Definir métricas e indicadores de segurança aplicacional
• Experiência prévia em desenvolvimento de software e arquitetura de aplicações, com evolução para Application Security
• Experiência sólida em pelo menos uma stack: Java (Spring Boot, REST APIs, Maven) ou C# (.NET Framework / .NET Core, ASP.NET)
• Conhecimentos de cloud (obrigatório), com deployments reais de aplicações, preferencialmente AWS e/ou Azure
• OWASP Top 10, OWASP ASVS e boas práticas de Secure Coding
• Criptografia aplicada (TLS, ciclo de vida de chaves e certificados, hashing seguro)
• Gestão de segredos (secret stores, rotação, evitar segredos em código)
• Experiência com ferramentas do tipo SonarQube, Checkmarx, Fortify, Veracode, Snyk, Dependabot, OWASP ZAP, Burp Suite ou Trivy
• Capacidade de influenciar sem autoridade hierárquica e de formar equipas de desenvolvimento

Valorizamos

• Experiência noutras clouds (ex. Google Cloud), considerada relevante e transferível

Projeto de longa duração, a full time, com impacto direto na maturidade de segurança aplicacional de toda a organização e visibilidade transversal junto das equipas de arquitetura, desenvolvimento, operações e segurança corporativa. Não é um papel de auditoria, é um papel de construção.

Se gostas de estar dentro do código e ao mesmo tempo de mudar a forma como as equipas trabalham, este é o teu lugar.