مدير أمن التطبيقات

Majid Al Futtaim

عنوان الوظيفة

مدير، أمن التطبيقات | ماجد الفطيم للحلول العالمية الإمارات العربية المتحدة

ملخص الدور

مدير أمن التطبيقات هو دور مؤسسي مسؤول عن الإشراف وتنفيذ برنامج إدارة الثغرات (VPAT)، اختبار الاختراق، فرق الاحمرار، أمن التطبيقات، وتطوير المبادرات. يضمن هذا الدور أن جميع بيئات التكنولوجيا بما في ذلك البنية التحتية، التطبيقات، منصات السحابة، أنظمة الشبكة، وأدوات الأمان يتم تقييمها باستمرار من حيث الثغرات الأمنية، التهديدات، والمخاطر.

ملف الدور

إشراف برنامج إدارة الثغرات (VPAT)

• قيادة وإدارة برنامج إدارة الثغرات (VPAT) على مستوى المؤسسة، وضمان أن جميع الأصول التقنية تخضع لتقييمات أمنية مستمرة وإصلاحات في الوقت المناسب.
• ضمان إجراء عمليات مسح منتظمة للثغرات عبر البنية التحتية، التطبيقات، خدمات السحابة، والتكاملات مع الأطراف الثالثة باستخدام الأدوات المناسبة.
• تأسيس أولوية قائمة على المخاطر للثغرات بناءً على قابلية الاستغلال، تأثير العمل، ومتطلبات الامتثال.
• العمل مع جميع أصحاب المصلحة لتتبع، والتخفيف، وضمان أن يقوم مالكو الأصول بإصلاح الثغرات ضمن اتفاقيات مستوى الخدمة المحددة.
• تطوير لوحات تتبع الثغرات والتقارير لتوفير رؤية حول اتجاهات المخاطر وتقدم الإصلاح.
  
  

اختبار الاختراق وفرق الاحمرار

• تخطيط وتنسيق وتنفيذ اختبارات الاختراق وتمارين فرق الاحمرار للأنظمة، التطبيقات، منصات السحابة، وأدوات الأمان التي تواجه الداخل والخارج.
• إجراء تقييمات أمنية هجومية، محاكاة سيناريوهات هجوم العالم الحقيقي بناءً على MITRE ATT&CK، OWASP، واستخبارات التهديدات الصناعية.
• اختبار فعالية الأمان لـ SIEM، IAM، WAF، EDR، CASB، وDLP لكشف نقاط الضعف الأمنية.
• إجراء تقييمات الهندسة الاجتماعية (حملات التصيد، اختبارات الأمان الفيزيائي، وتقييمات وعي الموظفين بالأمان).
• توليد تقارير مفصلة وتحليل المخاطر توضح إمكانية الاستغلال، تأثير العمل، وتوصيات الإصلاح.
  
  

أمن التطبيقات وDevSecOp

• قيادة وإدارة برنامج أمن التطبيقات وDevSecOp على مستوى المؤسسة، وضمان أن جميع التطبيقات تخضع لتقييمات أمنية مستمرة وإصلاحات في الوقت المناسب.
• العمل مع جميع أصحاب المصلحة خاصة فريق التطبيقات التجارية، مزود الخدمة المُدارة ومطوري البرمجيات لتتبع، والتخفيف، وضمان إصلاح الثغرات ضمن اتفاقيات مستوى الخدمة المحددة.
• دمج اختبار الأمان في خطوط أنابيب CI/CD.
• إجراء اختبار أمان التطبيقات الثابت (SAST) واختبار أمان التطبيقات الديناميكي (DAST) على التطبيقات الحرجة قبل النشر.
• ضمان وجود اختبار أمان API وآليات حماية للميكروسيرفيسات، وأحمال العمل المُعبأة، وتطبيقات الويب.
• تنفيذ ممارسات الترميز الآمن عبر فرق التطوير، وإجراء برامج تدريب ووعي.
  
  

حوكمة اختبار الأمان والامتثال

• ضمان أن جميع أنشطة اختبار الأمان وإدارة الثغرات تتوافق مع ISO 27001، NIST، PCI DSS، معايير CIS، وسياسات ومعايير MAF المعتمدة.
• تقديم تقارير تنفيذية عن نتائج اختبار الأمان، مع تحديد المخاطر الرئيسية والتخفيفات الموصى بها للقيادة.
• الحفاظ على وثائق جاهزة للتدقيق لجميع أنشطة اختبار الأمان لدعم وظيفة الامتثال للأمن السيبراني في المراجعات الداخلية والخارجية.
  
  

المتطلبات

• 5-7 سنوات من الخبرة في اختبار الاختراق، إدارة الثغرات، والتقييمات الأمنية.
• خبرة في دمج DevSecOps، ودمج اختبار الأمان في خطوط أنابيب CI/CD.
• خبرة عملية في التقييمات الأمنية في السحابة، الهجين، والبنية التحتية المحلية.
• درجة البكالوريوس في الأمن السيبراني، علوم الكمبيوتر، أو الهندسة.
• شهادات ذات صلة في اختبار الاختراق، تقييم الثغرات، وأمن التطبيقات.
• المؤهلات المفضلة
• OSCP (محترف معتمد في الأمن الهجومي)
• OSCE (خبير معتمد في الأمن الهجومي)
• GPEN (محقق اختراق معتمد من GIAC)
• GWAPT (محقق اختراق تطبيقات الويب من GIAC)
• CRTSA (مهندس أمان تقني مسجل من CREST)
• GCSA (أتمتة أمان السحابة من GIAC)
• محترف DevSecOps معتمد (CDP)
• شهادات أمان سحابة AWS/Azure