Technical Manager, Security Delivery

优缺点分析

角色解读

• 在大型机构的安全交付与技术管理方向纵深发展，未来可走向安全架构师或网络安全项目/平台负责人
• 接触赛马、博彩、会员与慈善多业务线的安全场景，积累金融级合规（香港与内地监管）与云安全治理经验
• 若倾向管理路线，可从技术交付负责人逐步扩展到安全团队管理，负责预算、人员与整体安全能力建设
• 作为网络安全项目的执行推动者，把机构层面的网络安全策略拆解为具体举措、里程碑与任务工作量，并与 PMO 协同推进
• 参与安全架构方案评估、概念验证（POC）与解决方案选型，确保方案符合统一架构标准与安全设计方法论
• 把安全控制嵌入产品开发生命周期与 CI/CD 工作流，涉及 SAST、SCA、DAST、镜像扫描、密钥扫描等 AppSec 工具链的落地
• 从多个视角开展安全测试，并输出规范的技术文档、测试报告与交接材料给运营团队
• 扎实的信息安全基本功：风险评估、安全测试、企业级安全基础设施与访问控制经验
• 云原生与 DevSecOps 工程能力：熟悉 AWS/Azure、Kubernetes、Docker，以及 Snyk、Terraform、Jenkins、GitHub 等工具链
• 对安全框架与标准的熟练运用，如 OWASP、NIST CSF、CSSLP，能把标准转化为可执行的流程与配置
• 跨团队沟通与文档能力：需要与架构、开发、运维、PMO 及合规多方协作，并把技术方案讲清楚、写清楚

申请策略

• 了解马会的业务结构（赛马、博彩、会员、慈善）与合规环境（香港与内地双重监管），在面试中体现对业务风险的理解
• 投递时留意工作地点可能在跑马地总部或沙田科技中心，可主动与 HR 确认通勤与办公安排
• 突出信息安全项目从规划到落地的完整经历，尤其是安全项目集/项目群（programme）的推进与交付成果
• 量化展示 AppSec 工具链建设经验：如 SAST/SCA/DAST 在 CI/CD 中的接入范围、发现与修复的漏洞数量或覆盖率提升
• 写明云平台与容器安全实践：AWS/Azure 安全配置、Kubernetes 与 Docker 的镜像安全、IaC（Terraform）安全治理经验
• 补充跨团队协作与文档能力证据，如安全架构评审、POC 报告、标准流程文档、安全测试报告的产出
• 系统梳理 OWASP、NIST CSF、CSSLP 等框架，并准备能说明如何将其映射到实际流程的案例
• 补齐 DevSecOps 工具链的动手能力，尤其是 Snyk、Terraform、Jenkins、GitHub Actions 的集成与策略配置

面试指南

• 项目类问题采用 STAR 结构：背景与风险 → 你的角色与推动方式 → 具体技术与流程动作 → 量化结果与沉淀
• 技术方案类问题按「威胁建模 → 控制措施 → 验证测试 → 运营监控」四步展开，体现端到端思维
• 协作冲突类问题强调「用数据说话 + 降低开发者成本」，例如把安全左移、提供自助化扫描与修复建议
• 请举一个你主导推动的网络安全项目，如何拆解任务、评估工作量并最终按期交付？
• 在 CI/CD 流程中落地 SAST/SCA/DAST 时，你如何处理误报率高、开发团队抵触等问题？
• 你如何评审一套云原生架构（Kubernetes + 多云）的安全方案？会重点关注哪些控制点？
• 你如何把 OWASP 或 NIST CSF 这类框架转化为可执行的内部流程与检查项？
• 面对香港与内地不同的监管要求，你会如何设计兼顾合规与可落地性的安全控制？