Senior Application Security & Devsecops

Company Overview
Fineco Bank is a leading European bank with 20 years of history and a fully digital DNA, operating without physical branches. It offers a one‑stop‑solution for trading, investment, and payment services through a proprietary platform that supports trading of listed and OTC products, mutual funds, ETFs, and both domestic and international banking needs.

Responsibilities

Servire come riferimento tecnico per la sicurezza applicativa e l’integrazione della security nelle pipeline di sviluppo.

Conducere attività di threat modeling applicativo e security review su architetture software, API e microservizi.

Progettare, implementare e manutenere la toolchain di sicurezza nelle pipeline CI/CD (SAST, DAST, SCA, container image scanning, secrets detection).

Eseguire secure code review su componenti critiche, identificando vulnerabilità e definendo piani di remediation in collaborazione con i team di sviluppo.

Definire e aggiornare le linee guida di sviluppo sicuro (secure coding standards) calibrati sullo stack tecnologico della banca.

Gestire il ciclo di vita delle vulnerabilità applicative: triage, prioritizzazione basata su rischio, tracking della remediation e verifica della chiusura.

Valutare la postura di sicurezza delle API esposte e dei servizi di integrazione, definendo controlli e standard di protezione.

Collaborare strettamente con i team di sviluppo, SOC, governance e infrastruttura per garantire la sicurezza del software prodotto.

Requirements

5–7 anni di esperienza in application security, Dev Sec Ops  o software security engineering in contesti enterprise strutturati.

Competenza pratica su threat modeling applicativo (STRIDE, PASTA) e su processi di security review integrati nel ciclo di sviluppo.

Esperienza hands‑on con strumenti SAST, DAST e SCA di nuova generazione, incluse soluzioni con capacità di triage AI‑assisted e auto‑remediation, e la loro integrazione in pipeline CI/CD.

Conoscenza approfondita di OWASP Top 10, OWASP ASVS e delle vulnerabilità applicative più comuni in contesti web, API REST e microservizi.

Familiarità con la sicurezza dei container (Docker, Kubernetes) e con il scanning delle immagini in fase di build e deploy.

Capacità di condurre secure code review su componenti applicativi critiche, con comprensione delle vulnerabilità specifiche degli stack tecnologici in uso.

Comunicazione tecnica efficace con interlocutori eterogenei: team di sviluppo, SOC, infrastruttura, governance.

Capacità di guidare gli sviluppatori verso soluzioni sicure senza rallentare il delivery.

Italiano madrelingua, inglese professionale (documentazione tecnica, interazione con vendor internazionali).

Nice to Have

Certificazioni rilevanti: CSSLP (ISC²), OSWE (Offensive Security), GCSA (GIAC).

Esperienza con Infrastructure as Code security (Terraform, Ansible) e strumenti IaC cloud‑native (es.: Bicep), nonché policy‑as‑code (OPA, Sentinel).

Familiarità con framework di threat modeling orientati alla privacy (es. LINDDUN), rilevante nel contesto bancario e GDPR.

Background di sviluppo software: esperienza da developer migliora la capacità di interazione con i team di engineering.

Other Information
Un’infrastruttura tecnologica mission‑critical che serve 1,8 milioni di clienti in tempo reale. La sicurezza applicativa ha impatto diretto sul business: il core banking e il sistema di brokerage sono sviluppati internamente, il che significa lavorare sul codice che muove la banca. Responsabilità dirette su un perimetro d’azione rilevante, all’interno di una funzione con peso strategico. Esposizione regolamentare strutturata, inclusa DORA, che rende la sicurezza del software parte integrante della governance complessiva.

Location
Milano – alternanza presenza in sede e smart working.

Equal Opportunity
Il Gruppo Fineco è orgoglioso di essere un Equal Opportunity Employer e si impegna a creare un ambiente di lavoro sicuro e inclusivo, fondato sul rispetto reciproco e la valorizzazione di qualsiasi diversità, offrendo pari opportunità di lavoro. Fineco “The Place To Be”.

#J-18808-Ljbffr