产品网络安全工程师 （SDL / DevSecOps /SBOM 与漏洞治理）

岗位职责：

1. 将 ISO 21434 §8 与 IEC 62443-4-1 的安全开发要求注入研发流程，定义各阶段活动、交付物与准入准出标准，推动落地执行。

2. 组织各业务线开展威胁建模（STRIDE / 攻击树）与安全需求评审，将安全需求转化为开发任务与设计约束。

3. 落地 MISRA C、CERT C/C++、AUTOSAR C++14 等安全编码规范，维护静态分析规则集与豁免白名单。

4. 负责 SAST、SCA、DAST、模糊测试、固件与镜像扫描等安全工具的选型、部署与 CI/CD 流水线集成，搭建自动化安全门禁与质量阈值，并治理误报与告警降噪。

5. 建立并维护产品 SBOM（CycloneDX / SPDX），覆盖固件、操作系统、中间件与开源组件，实现与产品版本的同步发布。

6. 开展开源组件许可证合规治理，维护组件准入清单与禁用 / 慎用清单。

7. 持续跟踪 CVE、NVD、CNVD / CNNVD、CISA KEV 与上游厂商公告等漏洞情报，结合 SBOM 开展可达性分析并输出 VEX 声明。

8. 建立漏洞受理、定级、处置、披露与通报流程，落实 CRA 24 小时早期预警、72 小时事件通报等法定时限，组织对监管机构（ENISA / CSIRT）与客户的通报。

9. 推动研发完成漏洞修复与复测验证，维护漏洞台账并度量分级修复 SLA 达成情况。

10. 开展安全编码培训与安全冠军（Security Champion）机制建设，实现研发过程安全活动与结果的自动化留痕，满足审计追溯要求。

※ 本岗位招聘 2 人，入职后按“SDL 工程化与 CI/CD 安全门禁”“SBOM 与漏洞治理”两个方向分工，简历中可注明偏好方向。

任职要求：

1. 本科及以上学历，计算机、软件工程、信息安全等相关专业，3 年以上软件安全、DevSecOps、软件供应链安全或漏洞治理相关经验。

2. 熟悉安全编码规范（MISRA C、CERT C/C++、AUTOSAR C++14）、威胁建模与安全需求评审方法。

3. 具备下列任一类能力：① 掌握 Checkmarx、Fortify、Synopsys、Snyk 等 SAST / SCA 工具及 CI/CD 集成，能搭建安全门禁；② 掌握 SBOM 标准（CycloneDX / SPDX）与 SBOM 生成维护流程。

4. 熟悉 CVE / NVD / CNVD 等漏洞情报源，具备漏洞风险评估、可达性分析与闭环跟踪能力。

5. 熟悉 ISO 21434 §8 开发流程与 IEC 62443-4-1 的 SDL 过程要求，了解 CRA Art 11 / 13 / 14 关于漏洞处理与 SBOM 交付的要求。

6.有嵌入式 / 车规 / 储能产品软件安全经验；有模糊测试、二进制分析或固件成分分析经验；有开源许可证合规治理经验；具备 Python / Shell 自动化与工具二次开发能力优先。