华晨汽车
Engineer Cyber Security
Engineer Cyber Security
发布于 3 小时前普通员工/个人贡献者
全职员工仅现场办公信息安全
信息安全
Dast
Devsecops
Iast
Iso 27001
Sast
Sdl
云安全
威胁建模
值不值得投
75综合评分
综合评分 75
核心业务DevSecOps专家岗，技术栈现代且成长空间大，侧重安全合规落地与跨部门赋能。
从薪资福利、成长发展、工作生活和使命价值四个维度综合评估，方便横向比较。
薪资怎么样
3.5万
比信息安全中位数高
发布情况
新岗位 · 今天发布
公司情况
这家公司招聘很活跃
19 个在招
市场机会
选择不多
南京 · 信息安全 · 9 个在招
职位详情
关于这个职位
该职位主要负责将安全实践融入应用DevOps流程，担任安全主题专家（SME），推动DevSecOps文化落地
你需要进行威胁建模、实施自动化安全测试（SAST/DAST/IAST），并赋能开发团队解决安全合规与漏洞修复问题，确保应用全生命周期的安全性
最低要求
计算机科学、信息安全或相关专业本科及以上学历（或同等经验）
年以上软件安全与开发经验，熟悉DevSecOps原则与实践
具备扎实的软件开发生涯与安全编码实践背景
熟悉并具备运行SDL（安全开发生命周期）的经验，涵盖安全需求识别、威胁建模、安全编码与配置
了解常见安全框架与合规标准（如NIST、ISO 27001）
精通外部信息安全相关法律法规及技术标准（如《网络安全法》、《汽车数据安全管理若干规定》等）
深入理解网络安全、加密及认证协议
熟悉安全测试工具（如SAST、DAST、IAST、漏洞扫描器）
了解云安全实践与工具（如AWS、Azure、GCP）
熟悉容器化与编排工具（如Docker、Kubernetes）
具备风险评估、漏洞管理、安全事件处理与分析经验
持有相关认证（如CISM、CISSP、CISA、ISO27001LA、PMP、AWS Certified Security等）
具备较强的团队沟通与协作能力、自我驱动力及技术热情
具备较强的分析与解决问题能力
具备良好的英语读写能力，优先具备流利的英语沟通能力，能够读写英文技术文档
具备发起、开展和促进与DevOps团队讨论的经验
工作职责
能够作为BMW SME（安全主题专家），在BMW IT应用的敏捷工作模式中执行所有必需的安全活动，包括：
对新老应用进行威胁建模和安全风险评估
识别潜在的安全威胁和漏洞，并推荐缓解策略
实施自动化安全测试工具，包括SAST（静态应用安全测试）、DAST（动态应用安全测试）、IAST（交互式应用安全测试）
在SLA内修复相关漏洞
及时将IT安全文档上传至BBA/BMW合规系统
进行合规性分析，提供IT应用符合IT安全治理的证明，并及时将IT安全合规性上传至BBA/BMW合规系统
能够赋能CIH DevOps团队在整个应用生命周期中实施DevSecOps流程，以实现安全相关指标（如威胁建模自评率、威胁建模覆盖率、AST工具自评率、上线前漏洞率等）
能够持续组织CIH内的各类沟通与交流，以实现SME CoP（实践社区）和紫带培训
定期开展讲座、培训和推广，确保应用高质量地符合相关安全标准和法规
与开发、运营和安全团队紧密合作，培养DevSecOps文化
能够通过解决安全评估和安全测试实践中的困难与问题来支持CIH DevOps团队，包括：
如何使用BBA/BMW合规系统上传安全产物
如何将安全编码实践推广到开发中
如何通过集成中央IAM解决方案实施身份验证和授权
如何进行带有证明的新版本合规性声明
如何使用不同的AST工具
如何评估和修复AST工具发现的漏洞
能够作为桥梁，在CIH和IT安全治理之间进行沟通
更加关注绩效的有效性，确保SDL尽可能高质量地在CIH中推广
优先资格
具备流利的英语沟通能力者优先
AI 洞察
优缺点分析
优点
- 深度参与头部车企的DevSecOps体系建设，能够积累大型复杂业务场景下的安全落地经验
- 接触前沿的云安全、容器化安全及自动化测试技术，技术栈现代且实用性强
- 需要在敏捷开发节奏与安全合规要求之间寻找平衡，推动开发团队落实安全实践可能存在沟通阻力
- 涉及大量合规文档上传与系统对接工作，需要极高的细心度与跨部门协调能力
- 适合具备扎实开发背景、熟悉DevSecOps流程，且具备较强跨部门沟通与推动能力的资深安全工程师
缺点 / 挑战
- 作为安全主题专家（SME），拥有较高的技术话语权，并能通过培训与社区建设提升个人影响力
角色解读
- 纵向可向信息安全架构师、安全合规总监或DevSecOps负责人方向发展，统筹企业级安全战略
- 横向可拓展至业务安全、数据合规或汽车网络安全（车联网安全）等新兴高价值领域
- 担任安全主题专家（SME），在敏捷开发模式中执行威胁建模、风险评估及自动化安全测试（SAST/DAST/IAST）
- 赋能DevOps团队落地DevSecOps流程，提升安全指标覆盖率，并解决安全评估与测试中的技术难题
- 作为CIH与IT安全治理的桥梁，推动安全合规文档上传、安全编码实践推广及DevSecOps文化建设
- 扎实的DevSecOps与SDL（安全开发生命周期）实践经验，熟练掌握威胁建模与自动化安全测试工具
- 熟悉国内外信息安全法律法规（如《网络安全法》）及合规标准（如ISO 27001、NIST）
- 具备云安全（AWS/Azure/GCP）及容器化（Docker/K8s）技术背景，能指导开发团队进行安全编码与漏洞修复
申请策略
- 准备一份关于如何在不严重影响交付效率的前提下，将安全测试无缝集成到CI/CD流水线中的案例
- 了解华晨宝马（BMW/BBA）的IT安全治理框架，面试时展现对其合规体系的认知
- 突出在DevSecOps、SDL落地及自动化安全测试（SAST/DAST/IAST）方面的实际项目经验与量化成果
- 强调对汽车行业数据安全法规（如《汽车数据安全管理若干规定》）的理解或相关合规项目经验
- 展示云安全（AWS/Azure）及容器化（Docker/K8s）环境下的安全防护与漏洞修复能力
- 深入学习汽车行业的特定安全标准与数据合规要求，补充车联网安全相关知识
- 提升敏捷环境下的安全赋能技巧，学习如何更好地向非安全背景的开发人员推广安全编码实践
面试指南
- STAR法则：针对落地案例，清晰描述背景（敏捷与安全冲突）、任务（安全目标）、行动（工具集成、流程优化、沟通赋能）和结果（指标提升、漏洞减少）
- 技术+管理双重视角：回答技术问题时，不仅给出技术方案（如调优规则、自动化修复），还要补充管理手段（如制定SLA、纳入绩效考核、定期复盘）
- 请分享一个你主导或深度参与的DevSecOps落地案例，你是如何平衡安全要求与敏捷交付效率的？
- 在引入SAST/DAST/IAST工具时，如何处理误报率高的问题？如何推动开发团队在SLA内修复漏洞？
- 针对《汽车数据安全管理若干规定》，你认为在应用开发阶段需要重点关注哪些安全合规要求？
- 作为SME，你如何组织培训并推动DevOps团队建立DevSecOps文化？遇到阻力时如何解决？
- 复习并梳理自己过往使用过的AST工具链，总结其优缺点及在CI/CD中的集成最佳实践
- 提前了解BMW/BBA的IT安全治理要求及汽车数据安全相关法规，准备相关的合规性分析思路
职位点评
薪资福利75
成长发展85
工作生活65
使命价值70
薪资福利
75中等
职位对资深安全专家有明确需求，结合南京地域及5年以上经验要求，薪资具备市场竞争力，且合资车企背景提供较好的稳定性。
薪资信号未披露（AI估算：2.5千–4.5万/月）
成长发展
85较高
岗位涉及DevSecOps、云安全、容器化等现代技术栈，且要求担任SME组织培训，技术成长与个人影响力提升空间大。
技术前沿主流现代技术
技术栈DevSecOps、SAST、DAST、IAST、SDL、AWS、Azure、GCP、Docker、Kubernetes
成长机会SME CoP、purple belt training、regular lectures and training
业务类型cost_center
工作生活
65中等
JD未明确说明工作模式与加班情况，但基于安全合规与审计节点的客观属性，可能在特定时期面临一定的工作压力。
工作模式未明确
办公地点未明确
加班情况未提及（无法判断）
使命价值
70中等
岗位涉及汽车数据安全与合规，保障智能网联汽车的用户隐私与数据安全，具有较高的社会价值与行业意义。
行业发展高速增长赛道
社会影响正向社会影响力较高
创新程度积极采用新技术
华晨汽车 的其他在招职位
相似职位推荐
Watch Jobs