Ingeniero/a de seguridad cloud

YGO GmbH; United States; À distance; USD 150 000 - 190 000; Plein temps

Résumé du poste

YGO GmbH en Estados Unidos busca un ingeniero de seguridad cloud para asegurar nuestra plataforma en la nube, APIs y la infraestructura de la empresa. El rol combina ingeniería práctica de seguridad y desarrollo de la función de seguridad a medida que crecemos.

Trabajarás en revisión de código, detección de incidentes, y diseño de flujos seguros para autenticación, redes y despliegues. Se valora liderazgo, experiencia en SOC 2/ISO 27001 y colaboración cercana con equipos de ingeniería y clientes.

Qualifications

• 5+ años de experiencia práctica en seguridad que abarque más de una disciplina.
• Experiencia profunda en seguridad de aplicaciones.
• Conocimientos sólidos de autenticación y autorización.
• Conocimientos sólidos de fundamentos de seguridad cloud.
• Experiencia con detección de incidentes y defensa proactiva.

Responsabilités

• Seguridad de las aplicaciones: revisión de código y API, pruebas de penetración y solución de causas raíz.
• Detección y respuesta ante incidentes: alertas, gestión de incidentes y guardias.
• Seguridad de la nube y la plataforma: control de acceso, redes, secretos, contenedores y CI/CD.
• Seguridad de nuestras API: autenticación/ autorización, tenants y auditoría.
• Seguridad de sistemas de IA: gestión de datos y cumplimiento.
• Identidad y seguridad de la empresa: SSO, MFA, gestión de accesos.
• Diseño seguro en pods: modelado de amenazas y revisión de diseño.
• Contribuir a la función de seguridad: hoja de ruta, escalado del equipo y SOC 2.

Connaissances

Seguridad de apps

Autenticación / autorización

Modelado de amenazas

Seguridad en nube

Defensa y ataque

Formation

Ingeniería de software (Go)

Outils

Claude Code

Description du poste

YGO.ai es una plataforma de turismo basada en IA financiada por capital riesgo. Buscamos un/a ingeniero/a de seguridad cloud que se responsabilice de la seguridad de nuestra plataforma en la nube, de las API que utilizan nuestros clientes empresariales y de la propia empresa.

Sobre este puesto. Este puesto combina dos responsabilidades. Te ocuparás directamente de la ingeniería de seguridad, con trabajo práctico, y desarrollarás la función de seguridad a medida que crezcamos. En YGO, quien lidera un pod es líder de un squad y portavoz, está cerca del trabajo y del cliente, en lugar de ser gerente a tiempo completo. Seguirás siendo ingeniero/a.

El trabajo es amplio. Puede que revises código fuente por la mañana, investigues una alerta de endpoint después de comer y ayudes a diseñar un nuevo flujo de autenticación al día siguiente. Identificarás los problemas de mayor riesgo, decidirás qué abordar primero y los resolverás.

Prestamos servicio a grandes empresas del sector de los viajes y tenemos compromisos empresariales que entrarán en vigor a partir de principios de 2027. La seguridad es una condición para hacer negocios con ellas, no una capa que se añade después.

De qué te responsabilizarás

• Seguridad de las aplicaciones. Revisarás de forma práctica el código y la arquitectura de nuestras API, servicios de backend y herramientas internas. Realizarás pruebas de penetración específicas para validar los problemas por tu cuenta. Colaborarás con el equipo de ingeniería para encontrar las causas raíz y aplicar soluciones prácticas, en lugar de limitarte a entregar informes. Gestionarás vulnerabilidades y las pruebas de penetración externas que encargamos.

• Detección y respuesta. Sabrás que estamos sufriendo un ataque mientras está ocurriendo y qué hacer a continuación. Te ocuparás de las alertas, la detección de intrusiones, el proceso de gestión de incidentes y el sistema de guardias.

• Refuerzo de la seguridad de la nube y la plataforma. Control de acceso, límites de red, gestión de secretos, contenedores y canalización de despliegue. Seguridad en todo el ciclo de vida del desarrollo de software (SDLC): CI/CD, repositorios y dependencias.

• Seguridad de nuestras API. Autenticación y autorización, aislamiento de tenants, alcance y ciclo de vida de los tokens, prevención del uso abusivo, SSO empresarial y el registro de auditoría del que dependen nuestros clientes y nuestra propia rendición de cuentas.

• Seguridad de nuestros sistemas de IA. Inyección de prompts, permisos de herramientas y agentes, nuestro servidor MCP, recuperación e ingestión de datos. También las normas de residencia de datos que debemos cumplir contractualmente.

• Identidad y seguridad de la empresa. SSO, MFA y acceso privilegiado para empleados, incorporación y baja, revisiones de acceso, MDM, seguridad de endpoints y acceso a SaaS. Te encargarás de la seguridad práctica de TI que necesita una empresa de nuestro tamaño, en lugar de limitarte a hablar de ella.

• Diseño seguro en todos los pods. Modelado de amenazas y revisión de diseño que ayuden a los equipos de ingeniería en lugar de ponerles trabas, y que eleven el estándar de lo que entregan.

• La propia función de seguridad. Establecerás prioridades y una hoja de ruta basadas en los riesgos reales, no en una seguridad de cara a la galería. Decidirás qué desarrollamos, compramos, automatizamos o dejamos para más adelante. Harás crecer el equipo y contratarás a nuevas personas, representarás a seguridad ante clientes empresariales y llevarás nuestro programa SOC 2 en Drata. El cumplimiento forma parte del trabajo, pero no es su eje central.

Qué protegerás

• Un motor de búsqueda y recomendación basado en IA para grandes empresas del sector de los viajes: integración empresarial, SSO, revisiones de seguridad de clientes e integraciones GDS.

• Una API de enriquecimiento de contenido que se vende como SaaS: gran escala, acceso público e intensiva en datos e IA.

• La plataforma que lo sustenta: una consola de cliente con organizaciones, proyectos y tokens de API, integraciones con proveedores y clientes empresariales, ingestión de datos, un servidor MCP y varios proveedores de LLM detrás de una única biblioteca interna.

Nuestra tecnología

• Backend: monorepo de Go (sin framework, 3+ servicios).

• Datos: PostgreSQL, Redis y cola Redis Asynq.

• Alojamiento: contenedores gestionados por PaaS, con Cloudflare delante.

• Observabilidad: trazas con Jaeger y BetterStack para registros, alertas y guardias.

• Cumplimiento: Drata, SOC 2 en curso.

• Herramientas de IA: Claude Code, utilizado por todo el equipo.

Requisitos imprescindibles

• 5+ años de experiencia práctica en seguridad que abarque más de una disciplina. No cinco años de ingeniería con algo de seguridad. Este puesto establece el estándar para la empresa, así que necesitamos a alguien con suficiente experiencia para tener criterio, no solo opiniones.

• Experiencia profunda en seguridad de aplicaciones. Sabes cómo se atacan las aplicaciones web y las API modernas. Puedes validar un problema por tu cuenta mediante una revisión de código o una prueba de penetración específica, y colaborar con el equipo de ingeniería para resolverlo.

• Sólido conocimiento de autenticación y autorización. OAuth y OIDC, sesiones, gestión de tokens, control de acceso y los modos de fallo que están detrás de la mayoría de las brechas en API.

• Conocimientos sólidos de los fundamentos de seguridad cloud. Seguridad de identidades, redes, cargas de trabajo y canalizaciones en una plataforma cloud moderna, aplicados a sistemas de producción de los que eras responsable.

• Experiencia en defensa, además de en ataque. Has investigado incidentes reales. Has creado o mejorado la detección y las alertas que permiten detectarlos.

• Modelado de amenazas y arquitectura segura para sistemas cloud, de contenedores y de API.

• Formación o experiencia en ingeniería. Te manejas bien en una base de código, puedes revisar lo que producen nuestros ingenieros y nuestras herramientas de IA, y puedes crear por tu cuenta lo que necesites. Nuestro backend está desarrollado en Go. Tener experiencia previa con Go es un plus, pero no un requisito.

• Comodidad trabajando con recursos limitados. Las startups, los equipos de seguridad pequeños o las consultoras te han enseñado a priorizar según el riesgo, el impacto en el negocio y los recursos disponibles, y a ejecutar por tu cuenta.

• Ganas de crear un equipo. Quieres desarrollar esta función y, con el tiempo, dirigirla. La experiencia previa en liderazgo es un plus, pero no un requisito. Preferimos contar con experiencia profunda y desarrollar las habilidades de liderazgo, y no al revés.

• Dominio operativo de Claude Code. Comparte ejemplos concretos.

• Criterio para decidir el ritmo. Protegerás una empresa que publica cambios a diario sin convertirte en el motivo por el que deja de hacerlo. Medidas de protección en lugar de barreras.

• Experiencia con SOC 2, ISO 27001 o exigentes revisiones de seguridad empresarial.

• Excelente nivel oral y escrito de inglés. Hablarás con auditores, equipos de seguridad de clientes y nuestros propios ingenieros, a menudo durante la misma semana.

• Zonas horarias europeas o africanas (±3 horas respecto a CET).

• Disponibilidad a tiempo completo (40 horas por semana).

Se valorará

• Seguridad de IA y LLM: inyección de prompts, permisos de agentes y herramientas, seguridad de modelos y canalizaciones de recuperación. Muy pocos puestos de seguridad te permiten usar la IA como herramienta principal y, a la vez, protegerla como objeto de trabajo. Este sí.

• Experiencia como primera incorporación al área de seguridad. Has sido la primera persona, o una de las primeras, en incorporarse al área de seguridad de una startup o scale-up.

• Experiencia dirigiendo o asesorando a ingenieros/as de seguridad.

• Go.

• Herramientas o automatización de seguridad que hayas creado por tu cuenta.

• Administración de MDM, protección de endpoints y proveedores de identidad (Google Workspace o similar).

• Herramientas de automatización del cumplimiento (Drata, Vanta, Secureframe o similares).

• Certificaciones de seguridad. Se valoran como referencia, pero nunca son un requisito.

• Conocimientos profundos del RGPD. Experiencia en viajes o con GDS.

• Alemán.

Encajarás muy bien si

• Consideras la seguridad una disciplina de ingeniería. Entregas soluciones y medidas de protección, no presentaciones.

• Puedes explicarle una vulnerabilidad a un ingeniero y, esa misma tarde, explicar el riesgo para el negocio a la persona responsable de seguridad de un cliente.

• Has realizado trabajo ofensivo como pentester o consultor/a y querías asumir una responsabilidad más amplia que la de elaborar informes.

• Quieres crear algo y responsabilizarte de ello, en lugar de asesorar a otras personas sobre lo que han creado.

• Te sientes cómodo/a cuestionando tanto la burocracia de seguridad innecesaria como las decisiones de ingeniería realmente arriesgadas.

• Te frustras cuando una solución de seguridad tarda semanas en lugar de días.