資安高級工程師／副理（應用程式與 AI 資安）
月薪 60000~80000元
台北市士林區
5~6年工作經驗
Position Overview｜職位概述
這個職位負責英業達集團全球對外網站、API 與重要應用系統的安全防護——從資產盤點、日常安全檢測、上線前審查，到將資安控制點真正整合至開發及 CI/CD 流程。
你將擔任集團 Application Security 的核心技術主責者：實際執行 SAST、DAST、Security Design Review、Threat Modeling、弱點驗證與修補追蹤，同時主導全球網站滲透測試與企業級紅隊演練等委外專案。
你也會參與 API Security 與 AI Security 能力建設，逐步建立 API Security 管理機制、AI Security Assessment 與 AI Red Team 流程。
我們不期待你已經是 AI Security 專家——這個領域仍在快速發展。我們期待的是：你能將既有的 Application Security 方法、攻擊者思維及安全工程經驗，延伸到 LLM、RAG、AI Agent 與生成式 AI 應用的新型攻擊面。公司提供外部顧問資源及已核定的專案預算，支持你建立相關能力。
________________________________________
您將參與的重點專案
• API Security 平台評估、建置
• Secure SDLC 導入
• AI Security Framework 建立
• AI Red Team Exercise
• 全球網站滲透測試
• 企業級紅隊演練
• 供應鏈資安管理制度建立
________________________________________
工作面向 / 占比
Application Security 技術執行 / 約 50–55％
Secure SDLC 與 API Security 建置 / 約 20–25％
滲透測試、紅隊、AI Security 委外主導 / 約 15％
供應鏈資安與稽核技術支援 / 約 5％
非計畫性應變（緊急漏洞、臨時稽核）/ 約 5–10％
我們把比例寫出來，是因為它是真的。
這不是純紅隊職位，也不是純 GRC 職位——核心是動手做的 Application Security。
________________________________________
Key Responsibilities｜主要職責
1. Application Security（核心工作，約 50–55％））
• 執行企業網站、API 與重要應用系統的日常資安檢測；建立及維護資產清冊與檢測涵蓋率。
• 執行系統上線前安全審查、Security Design Review、Threat Modeling 與風險評估。
• 使用 SAST、DAST 執行安全測試，分析結果並排除 False Positive。
• 自行驗證弱點的實際可利用性（Exploitability）、攻擊條件及業務影響。
• 必要時閱讀程式碼、追蹤資料流與信任邊界，識別弱點根因及商業邏輯缺陷。
• 依 OWASP Top 10、OWASP API Security Top 10 及公司安全基準評估風險（安全基準若尚未建立，由本職位主導制定）。
• 建立並維運企業應用程式弱點管理機制：風險分級、修補 SLA、例外管理、風險接受及複測。
• 追蹤修補進度，與開發團隊確認修補方案及補償控制的有效性。
________________________________________
2. Secure SDLC 與 API Security（核心工作，約 20–25％）
• 制定、發布並維護 Secure Coding Guideline、Application Security Standard 及安全開發檢核表。
• 將 SAST、DAST、SCA、Secrets Scanning 等檢核整合至 CI/CD Pipeline。
• 建立兼顧風險與開發效率的 Security Gate、例外申請及風險接受機制。
• 建立 API Inventory、API Owner、資料敏感度及生命週期管理機制。
• 制定 API Authentication、Authorization、Input Validation、Schema、Rate Limiting、Logging 及 Monitoring 安全標準。
• 評估 BOLA、BFLA、Injection、Mass Assignment、Shadow API、Zombie API 等 API 風險。
• 主導 API Security 平台的需求定義、產品評估、PoC、導入及成效驗證。
• 提供開發團隊安全技術諮詢與教育訓練，推動 Security Champion 等可持續運作的協作機制。
________________________________________
3. 攻擊面驗證與 AI Security（主導委外專案，約 15％）
滲透測試與紅隊演練
• 規劃全球網站、API 與重要應用系統的滲透測試專案；擔任企業級紅隊演練專案 PM。
• 定義測試範圍、Rules of Engagement、攻擊情境、證據要求及驗收標準。
• 管理委外廠商與外部顧問的進度、品質、風險與交付成果。
• 審查測試發現、攻擊證據及弱點可利用性，避免僅依賴工具報告或顧問結論。
• 分析 Attack Path 與 MITRE ATT&CK 對應關係，提出具體改善建議並追蹤至風險閉環。
• 依個人能力及專案需求參與 Hands-on Security Testing。
AI Security
• 與 AI Governance、開發、資料、法遵及外部顧問合作，建立 AI Security Framework 與 AI Risk 管理機制。
• 將 Threat Modeling 方法延伸至 LLM、RAG、AI Agent、AI API 與生成式 AI 應用架構。
• 建立 AI Security Assessment 流程、檢核項目、證據要求及風險分級方法；規劃 AI Red Team 測試情境與驗收標準。
• 評估 Prompt Injection、Sensitive Information Disclosure、Insecure Output Handling、Excessive Agency、Tool Abuse 及 Model／Data Supply Chain 等風險。
• 研究 AI Gateway、Guardrails、權限控管與 AI Runtime Security；追蹤 LLM、RAG、Agent、MCP 的新型攻擊手法。
• 參考 OWASP Top 10 for LLM/GenAI、MITRE ATLAS、NIST AI RMF 及 ISO/IEC 42001。
※ AI Security 經驗非必要，公司提供顧問資源與技術支援。
________________________________________
5. 採購與供應鏈資安(技術支援，約 5％)
• 建立採購前資安審查政策與指引、推動第三方風險管理（TPRM）、推動第三方風險管理（TPRM）
• 從 Application Security 角度，參與採購資安審查機制，協助制定軟體、Cloud Service、API Service 及 AI Service 的安全要求。
• 支援 SBOM、VEX、第三方套件及軟體供應鏈安全評估。
• 支援內部、外部及國際客戶資安稽核，提供 AppSec／API Security／Secure SDLC／AI Security 佐證文件與風險說明。
• 執行第三方與供應商資安評估
________________________________________
Qualifications｜資格條件
必備條件
• 大學以上資訊、資工、資管或相關科系畢業，或具同等實務經驗。
• 5 年以上 Application Security、Web／API Security、滲透測試或相關資安工程經驗。
• 具備主導委外專案、管理外部顧問及追蹤交付成果的經驗或能力。
• 具跨團隊協作、技術溝通及專案執行能力。
• 能閱讀英文技術文件、弱點報告及安全標準。
副理職級另依以下能力綜合評估
• 大型或跨國專案主導經驗
• 專案預算與委外廠商管理
• Roadmap、KPI 及風險管理
• 跨部門協調與管理階層溝通
• 技術帶領、經驗傳承及團隊賦能
副理職級不單純以年資判定，以實際專案成果與領導能力為主要核敘依據。
展開
