Lead ingénieur·e sécurité

À PROPOS DE BUFFER Nous créons des logiciels de gestion des réseaux sociaux et de développement de marque pour les petites entreprises, les créateurs et les particuliers. Notre mission est de fournir des outils essentiels pour aider les petites entreprises à démarrer et à se développer. Grâce à un service client exceptionnel et à des contenus inspirants, nous aidons nos clients à croire en leur réussite et à faire le bien autour d’eux. Buffer est une équipe entièrement distribuée, et nous avons toujours cherché à faire les choses un peu différemment. Depuis nos débuts, nous nous sommes attachés à créer l’un des lieux de travail les plus uniques et les plus épanouissants, en repensant de nombreuses pratiques traditionnelles. Nous privilégions également la transparence : vous pouvez consulter toutes nos données, nos réussites et nos échecs au fil du temps sur notre Tableau de bord de transparence https://buffer.com/open. Nous sommes unis par les valeurs de Buffer https://buffer.com/about#values, et nous recrutons et travaillons partout dans le monde. Nous nous efforçons de créer un environnement de travail diversifié et inclusif, et nous bâtissons une culture où les groupes sous-représentés sont les bienvenus et peuvent s’épanouir. À noter que nous nous retrouvons en personne une ou deux fois par an pour travailler ensemble, et que ces événements sont vivement encouragés afin de renforcer les liens au sein de notre petite équipe. Pour mieux connaître Buffer et envisager de nous rejoindre dans cette aventure, vous pouvez en apprendre davantage sur Buffer sur notre page Journey https://buffer.com/journey. Vous souhaitez en savoir plus sur l’expérience au sein de l’équipe Buffer ? N’hésitez pas à lire les témoignages de Kirsti https://buffer.com/resources/first-30-days-buffer/ et Sabreen https://buffer.com/resources/joined-3-days-before-the-retreat/, qui racontent leurs premières expériences chez Buffer, ainsi que celui de Hailley https://buffer.com/resources/8-years-at-buffer/, qui explique pourquoi elle considère toujours Buffer comme son chez-soi après plus de 8 ans. C’est inhabituel chez Buffer, mais nous recherchons des personnes situées dans une plage horaire précise. Ce poste est actuellement ouvert aux personnes basées entre UTC-3 et UTC+3. Cela vous permettra d’avoir des heures de travail en commun avec notre ingénieur sécurité actuel au Sri Lanka et la majeure partie de notre équipe d’ingénierie, ainsi que de partager la couverture des incidents, afin qu’aucun de vous n’ait à travailler toute la nuit. À PROPOS DU POSTE Nous recrutons un·e ingénieur·e sécurité opérationnel·le pour assurer le rôle de responsable technique de l’équipe Sécurité de Buffer. Vous travaillerez aux côtés d’Adnan https://www.linkedin.com/in/adnanissadeen/, qui s’occupe de la sécurité chez Buffer depuis des années. Ensemble, vous serez responsables de la sécurité et de la conformité d’une entreprise rentable qui existe depuis 15 ans et qui se réinvente autour de l’IA. Deux éléments font de ce moment le bon. Le périmètre de nos produits s’élargit : en mai, nous avons lancé une API GraphQL publique avec un serveur MCP et une CLI. Plus de 35 000 organisations ont connecté un outil d’IA à Buffer, et nous prévoyons de créer un écosystème de plugins. En interne, nous devenons une organisation native de l’IA : des MCP dans notre offre Claude Team, des connecteurs personnalisés, des outils internes et Roo, notre propre agent interne. Nous sommes une petite équipe agile, avec peu de processus, et nous fonctionnons sur la confiance en matière d’accès et d’autorisations. Nous ne voulons pas perdre cela, mais notre périmètre s’étend désormais plus vite qu’une seule personne ne peut le couvrir. Cela signifie que les pratiques habituelles en matière de sécurité ne fonctionneront pas ici. Nous n’achetons pas d’offres Entreprise pour chaque outil et nous ne demandons pas aux gens de justifier chaque demande d’accès. Vous ferez en sorte que la voie la plus sûre soit aussi la plus facile à suivre. Votre rôle consistera à définir l’orientation de la sécurité chez Buffer et à effectuer une grande partie du travail vous-même. Vous déciderez quels problèmes de sécurité non résolus traiter en priorité, écrirez du code pour en corriger certains et dirigerez les interventions en cas d’incident. Nous recherchons une personne qui facilite le travail et qui aime travailler en équipe, pas un gardien. Il s’agit volontairement d’un poste généraliste. AVEC QUI VOUS TRAVAILLEREZ Vous rendrez compte à Miguel, https://www.linkedin.com/in/migueldavid/ responsable ingénierie des équipes Infrastructure et Sécurité. Au quotidien, l’équipe Sécurité se compose de vous, d’Adnan et de Miguel. Adnan sait comment les différents éléments de Buffer s’articulent et où se trouvent les points sensibles. Ensemble, vous serez responsables des travaux de sécurité planifiés ainsi que des tâches indispensables au bon fonctionnement : la boîte de réception dédiée à la sécurité, les demandes des autres équipes, la maintenance et les tâches courantes. Vous définirez l’orientation et les normes de l’équipe. Vous travaillerez également en étroite collaboration avec les équipes d’ingénierie produit pour veiller à ce que nos réalisations respectent des exigences élevées en matière de sécurité. Cela implique de collaborer aux revues des spécifications techniques et d’élargir le groupe de référents sécurité au sein des équipes. Vos homologues des équipes Advocacy (assistance clientèle) et People compteront sur vous pour les aider à répondre aux besoins de sécurité et de conformité liés à leur travail, qu’il s’agisse de questions de sécurité des clients, d’évaluation des fournisseurs ou de politiques. VOTRE MISSION - 🧭 Diriger la sécurité chez Buffer. Définir la stratégie et la feuille de route, établir les priorités, piloter leur mise en œuvre et faire évoluer nos méthodes de travail là où c’est nécessaire. Si vous repérez un problème en dehors de votre périmètre, signalez-le et faites avancer sa résolution. - 🧰 Construire. Repérer le problème, définir la solution, puis la mettre en œuvre avec Adnan : outils, automatisation, processus. - 🔁 Intégrer la sécurité au cycle de développement. Vérifier chaque PR, intégrer la modélisation des menaces aux spécifications techniques, veiller à l’hygiène des dépendances, des secrets et de la chaîne d’approvisionnement, et mettre en place des étapes de revue adaptées à l’augmentation de la part de code écrit par des agents d’IA. - 🔐 Renforcer la sécurité opérationnelle. Sécuriser nos opérations quotidiennes conformément aux normes du secteur, tout en préservant la flexibilité qu’offre l’environnement de confiance de Buffer. - 💡 Veiller au bon fonctionnement. Gérer la boîte de réception dédiée à la sécurité, les demandes des autres équipes, la maintenance et les tâches courantes, en partage avec Adnan. Une grande partie de ces tâches est actuellement manuelle, et nous aimerions que vous automatisiez tout ce qui peut l’être. - 🚨 Diriger les interventions en cas d’incident et participer à la rotation d’astreinte de toute l’équipe d’ingénierie. Définir les normes de gestion des incidents de sécurité et veiller à ce que l’équipe les respecte. Organiser des exercices de simulation avec le reste de l’équipe d’ingénierie et vous assurer que les lacunes sont corrigées. - 🤖 Sécuriser le périmètre de l’IA. Modéliser les menaces liées à ce que nous développons, des agents ayant accès à des outils aux connecteurs et à l’IA intégrée aux produits, et définir des garde-fous qui permettent à Buffer d’avancer rapidement dans le domaine de l’IA sans agir à l’aveugle. - 🐛 Gérer le signalement des vulnérabilités. Trier les signalements de chercheurs externes, corriger ou transmettre les signalements pertinents, et décider de l’évolution du programme. - 🤝 Être responsable de la conformité et de la confiance des clients. SOC 2 et la conformité aux plateformes Meta sont aujourd’hui les principaux sujets. Nous voulons que ces démarches renforcent la sécurité de Buffer, et pas seulement qu’elles nous permettent de réussir les audits ; vous automatiserez également la collecte des preuves dans la mesure du possible. Les questionnaires de sécurité nous parviennent par l’intermédiaire d’Advocacy. Aidez-nous à y répondre et à mettre en place des ressources permettant aux clients de trouver eux-mêmes les réponses (un Trust Center, par exemple). COMPÉTENCES ET EXPÉRIENCE UTILES - Vous avez été la personne la plus expérimentée en sécurité dans une organisation sans CISO au-dessus de vous. Vous savez ce que signifie définir une orientation sans disposer d’un mandat formel et gagner la confiance par votre travail. - Vous possédez une solide expérience pratique de la sécurité des applications et des API dans un SaaS multi-tenant, idéalement avec une API publique : modèles d’autorisation, OAuth et OIDC, flux de session et d’authentification, IDOR et SSRF, et modélisation des menaces. Vous avez trouvé et corrigé ces vulnérabilités, et ne vous êtes pas contenté de les signaler. - Vous écrivez du code. Vous savez lire et modifier suffisamment bien une base de code TypeScript pour livrer une correction et examiner le code d’une autre personne (vous rencontrerez aussi, plus rarement, du PHP et du Python hérités). - Vous avez dirigé des interventions de sécurité de bout en bout, notamment la rédaction de mises à jour de statut, de communications aux clients et de rétrospectives donnant lieu à des actions concrètes. - Vous avez travaillé avec AWS, Kubernetes et Cloudflare, ou des technologies similaires, et vous en savez assez pour évaluer les risques liés à l’infrastructure avec une équipe dédiée. Vous n’avez pas besoin de l’exploiter vous-même. - Vous avez piloté un programme SOC 2 ou similaire, ou travaillé en étroite collaboration avec un tel programme, et vous préférez automatiser la collecte des preuves plutôt que de la réaliser manuellement. - Vous avez géré ou trié les signalements dans le cadre d’un programme de divulgation de vulnérabilités ou de bug bounty, et vous savez rapidement distinguer un véritable signalement du bruit. - Vous avez des opinions bien affirmées, mais vous savez les remettre en question. Vous êtes à l’aise pour exprimer votre désaccord avec la conception d’un ingénieur senior et chercher ensemble la meilleure solution (en changeant parfois d’avis lorsque son argumentation est meilleure). - Vous maîtrisez les outils d’IA modernes et les utilisez pour accroître votre productivité et celle de votre équipe. Vous avez réfléchi en profondeur à la sécurisation des systèmes qui les utilisent. - Vous vous épanouissez dans des environnements de travail à distance et asynchrones, et vous allez au bout des choses. Votre réflexion est claire, vous partagez généreusement le contexte et vous assurez le suivi de vos engagements. Ici, l’essentiel de votre influence passera par l’écrit. - Un plus si vous utilisez déjà Buffer ou connaissez les outils de gestion des réseaux sociaux. NOTRE STACK TECHNIQUE - Produit. Node.js (TypeScript) pour la plupart des services dans un monorepo, avec MongoDB ; une API REST et du PHP en cours de retrait pour les services hérités. Applications iOS et Android. Une API GraphQL publique, un serveur MCP, une CLI et des connecteurs. - Infrastructure. AWS (EKS, IAM, SQS, S3, CloudFront), Terraform, ArgoCD, GitHub Actions, Cloudflare (WAF, Zero Trust, Workers, DNS). - Sécurité et conformité. Vanta pour SOC 2, Dependabot, gitleaks, AWS GuardDuty, Cloudflare WAF et Zero Trust, Action1 pour la gestion des appareils, 1Password et Google Workspace comme couche d’identité. - Observabilité et incidents. Datadog, Sentry, incident.io http://incident.io et PagerDuty. - IA. Claude Team dans toute l’entreprise, agents internes et serveurs MCP développés en interne, fonctionnalités d’IA intégrées aux produits. POSTULER Vous pensez correspondre à ce poste et souhaitez rejoindre l’équipe Buffer ? Nous serions ravis d’en savoir plus sur vous ! Voici les étapes de notre processus de recrutement : 1. Candidature. Un court formulaire avec votre CV, votre profil LinkedIn, quelques questions oui/non et un exemple de texte que vous avez rédigé. 2. Questionnaire. Si votre profil correspond, nous vous enverrons par e-mail une courte série de questions pour mieux vous connaître ! 3. Entretiens : vous rencontrerez plusieurs membres de l’équipe lors de quelques appels Zoom, en commençant par Miguel https://www.linkedin.com/in/migueldavid/, responsable ingénierie des équipes Infrastructure et Sécurité et responsable du recrutement pour ce poste, puis quelques autres collègues et pairs de Buffer. 4. Exercice à réaliser chez vous. Pendant notre processus d’entretien, nous vous demanderons d’effectuer une tâche de manière asynchrone afin de voir votre travail en pratique et d’en discuter en direct. 5. Rencontre avec le CEO. Faites connaissance avec Joel https://www.linkedin.com/in/joelgascoigne/, notre fondateur et CEO. 6. Période de collaboration. Deux journées rémunérées à travailler avec l’équipe sur un vrai projet, afin que nous puissions découvrir mutuellement ce que serait notre collaboration. POLITIQUE DE CONFIDENTIALITÉ En envoyant votre candidature, vous consentez à ce que Buffer collecte et traite vos données personnelles à des fins de recrutement. Pour en savoir plus, consultez notre Politique de confidentialité https://buffer.notion.site/Privacy-Policy-for-Applicants-230a7f5a00fd80e48478f09171d18a24?pvs=143.