Старший инженер по обеспечению безопасности

GitLab — интеллектуальная платформа оркестрации для DevSecOps. GitLab помогает организациям повышать продуктивность разработчиков, улучшать операционную эффективность, снижать риски в области безопасности и соответствия требованиям и ускорять цифровую трансформацию. Более 50 миллионов зарегистрированных пользователей и более 50% компаний из Fortune 100* доверяют GitLab выпуск более качественного и безопасного программного обеспечения быстрее.

Те же принципы, которые заложены в наши продукты, отражаются в том, как работает наша команда: мы воспринимаем ИИ как ключевой множитель продуктивности, и все члены команды должны включать ИИ в свои ежедневные рабочие процессы, чтобы повышать эффективность, инновационность и влияние. GitLab — это место, где карьера ускоряется, инновации процветают и каждый голос ценен. Наша культура высокой эффективности опирается на наши ценности и непрерывный обмен знаниями, позволяя членам нашей команды полностью раскрывать свой потенциал, сотрудничая с лидерами отрасли для решения сложных задач. Создавайте будущее вместе с нами, разрабатывая технологии, которые меняют то, как мир создаёт программное обеспечение.

*Fortune 500® является зарегистрированным товарным знаком Fortune Media IP Limited и используется по лицензии. Утверждение основано на данных GitLab. Fortune 100 обозначает 20% компаний с наивысшим рейтингом в списке Fortune 500 за 2025 год, опубликованном в июне 2025 года. Fortune и Fortune Media IP Limited не связаны с GitLab и не поддерживают продукты или услуги GitLab.

Обзор этой роли

Организация Security Assurance в GitLab отвечает за то, как GitLab проектирует, тестирует и подтверждает средствами доказательств контроли, которые защищают бизнес. Эта роль управляет программой технологического соответствия требованиям в системах, на которых работает компания, и намеренно не привязана к конкретным фреймворкам и подразделениям: одна и та же дисциплина контролей применяется везде, где система существенна для финансовой отчётности, обязательств в области безопасности, клиентских контрактов или регуляторных требований. В периметр входят корпоративные приложения и инфраструктура идентификации, принадлежащие IT, инструменты Corporate Security, приложения, принадлежащие Engineering и поддерживающие бизнес-операции (биллинг на основе использования, отслеживание подписок и прав доступа, учёт потребления, провижининг), а также сторонние SaaS-сервисы, за которые GitLab сохраняет ответственность за контроли.

SOX ITGC — один из драйверов этой работы, но не вся она. Вы будете проектировать контроль один раз и удовлетворять нескольких потребителей гарантий на основе одних и тех же доказательств. Вы также будете поддерживать работу над корпоративными политиками безопасности в партнёрстве с командой Security Governance и помогать устанавливать стандарты управляемого использования ИИ в корпоративном ландшафте и ландшафте бизнес-систем.

Некоторые примеры наших проектов:

• Построение набора контролей для принадлежащей Engineering системы биллинга или подписок, который удовлетворяет SOX ITGC, SOC 2 и контрактным обязательствам перед клиентами на основе единого массива доказательств.
• Установление стандарта того, как инструменты ИИ, агенты и интеграции используются в корпоративных и бизнес-системах — как выглядит допустимое использование, какие доказательства требуются и когда сценарий использования нуждается в проверке со стороны Legal, Privacy или Internal Audit.
• Автоматизация регулярного сбора доказательств, чтобы проверки доступа и тестирование управления изменениями перестали быть ежеквартальной ручной гонкой.

Чем вы будете заниматься

• Проектировать, документировать и поддерживать общие IT-контроли (IT General Controls) и контроли безопасности по всему периметру систем, а также тестировать их на предмет проектной и операционной эффективности на соответствие регуляторным, контрактным требованиям и требованиям корпоративных политик.
• Один раз сопоставлять общие контроли и тестировать их так, чтобы одновременно закрывать несколько обязательств — SOX, SOC 2, ISO 27001, ISO 42001, NIST CSF, PCI-DSS, требования в области конфиденциальности и контрактные обязательства перед клиентами.
• Выступать точкой контакта и связующим звеном по вопросам соответствия для команд IT, Corporate Security, Engineering и Finance, которые владеют системами в периметре, чтобы одна оценка обслуживала Security Governance, Security Risk, Internal Audit, SOX PMO, Legal и Privacy.
• Помогать устанавливать стандарты и ожидания по контролям для управляемого использования ИИ в корпоративных и бизнес-системах — оценивать инструменты, агентов и интеграции на предмет влияния на контроли, определять, как выглядят допустимое использование и доказательства, и эскалировать случаи, когда сценарий использования релевантен для SOX или затрагивает клиентские данные.
• Сотрудничать с Security Governance по работе над корпоративными политиками безопасности: вносить вклад и рецензировать содержание политик, стандартов и процедур для систем, по которым вы выступаете связующим звеном, а также поддерживать пересмотр политик, аттестацию и соблюдение Acceptable Use Policy.
• Проводить регулярный мониторинг соответствия — проверки пользовательского доступа, привилегированного доступа, разделения обязанностей, управления изменениями и базовых конфигураций — с ежемесячной, ежеквартальной и ежегодной периодичностью.
• Оценивать внедрение систем, миграции и существенные изменения на готовность контролей до запуска в промышленную эксплуатацию и консультировать команды Engineering и прикладные команды по требованиям к контролям на ранних этапах проектирования.
• Управлять тестированием SOX ITGC и запросами на сертификацию от внутренних и внешних аудиторов, а также направлять сбор доказательств для внешних аудитов, автоматизируя этот сбор везде, где возможно.
• Выявлять, отслеживать и возглавлять устранение недостатков контролей и рисков, а также рекомендовать улучшения процессов соответствия, метрик и отчётности по всему периметру.

Что вы принесёте

• 5+ лет опыта в IT-комплаенсе, комплаенсе в области безопасности, IT-аудите, информационной безопасности или информационных технологиях, а также степень BA/BS в области бизнеса или технологий либо эквивалентный опыт. Опыт работы в Big 4 или внешнем аудите будет преимуществом.
• Подтверждённый опыт тестирования контролей и документирования этих тестов в соответствии с такими фреймворками, как COSO, COBIT, NIST CSF, ISO 27001, SOC 2 и SOX ITGC, а также непосредственной работы с внутренними или внешними аудиторами.
• Опыт оценки контролей в стеках SaaS и облачно-нативных приложений, а не только в традиционных локальных системах.
• Рабочие знания в области управления идентификацией и доступом — SSO, SCIM, RBAC, привилегированный доступ и процессы joiner/mover/leaver.
• Знакомство с концепциями управления ИИ и вопросами контролей, которые возникают в связи с инструментами ИИ, агентами и интеграциями, — обработка данных, область доступа, человеческая проверка, журналирование и доказательства.
• Опыт участия в разработке политик и стандартов безопасности и поддержки процессов соблюдения политик или аттестации в партнёрстве с функцией управления (governance).
• Способность анализировать, как данные проходят между системами использования продукта, биллинга, подписок и финансовой отчётности, и где в этих потоках находится риск контролей.
• Исключительные письменные и устные коммуникативные навыки, подтверждённый авторитет в работе со старшим руководством, инженерными командами, аудиторами и юристами.
• Умение пользоваться GitLab или готовность освоить его.
• Будет плюсом: соответствующие сертификаты, такие как CISA, CISSP, CRISC или CISM; опыт работы с платформами биллинга на основе использования или потребления, системами управления подписками либо внутренними сервисами учёта потребления и прав доступа; опыт автоматизации комплаенса и непрерывного мониторинга контролей либо установления стандартов использования ИИ в корпоративной среде (ISO 42001, NIST AI RMF); предыдущий опыт в функции Security Assurance или GRC, которая поддерживала как корпоративный IT, так и продуктовую разработку.

О команде

Организация Security Assurance помогает GitLab укреплять и поддерживать доверие, совершенствуя наш подход к безопасности, соответствию требованиям и рискам по всей компании. Эта роль находится в Security Compliance и отвечает за фреймворк контролей для систем, на которых работает бизнес. Смежные функции — Security Governance, Security Risk и Security Enablement, а также тесное партнёрство с SOX PMO, Internal Audit, Legal и Privacy. Команда работает на общей базе контролей и доказательств: оценка, выполненная один раз, должна обслуживать каждого потребителя гарантий, которому она нужна.

 

Диапазон базовой заработной платы для указанного уровня этой роли в настоящее время действует только для резидентов Соединённых Штатов. Этот диапазон призван отражать ставку базовой заработной платы роли в локациях по всей территории США. Уровень грейда и диапазоны заработной платы определяются по итогам собеседований и оценки образования, опыта, знаний, навыков, способностей кандидата, справедливости относительно других членов команды, соответствия рыночным данным и географического расположения. Диапазон базовой заработной платы не включает какие-либо бонусы, долю в капитале или льготы. Подробнее о наших льготах и программе участия в капитале. Роли в продажах также имеют право на стимулирующие выплаты в размере до 100% от предложенной базовой заработной платы.

Диапазон заработной платы в Соединённых Штатах$139,200—$196,000 USD

Как GitLab поддерживает штатных сотрудников

• Льготы для поддержки вашего здоровья, финансов и благополучия
• Гибкий оплачиваемый отпуск 
• Группы ресурсов для членов команды
• Компенсация долей в капитале и программа покупки акций сотрудниками
• Фонд роста и развития
• Родительский отпуск 

Обратите внимание, что мы приветствуем интерес кандидатов с разным уровнем опыта; многие успешные кандидаты не соответствуют каждому отдельному требованию. Кроме того, исследования показывают, что люди из недопредставленных групп реже откликаются на вакансию, если не соответствуют каждой квалификации. Если эта роль вас воодушевляет, подайте заявку и позвольте нашим рекрутерам оценить вашу кандидатуру.

Руководство по найму в странах: GitLab нанимает новых членов команды в странах по всему миру. Все наши роли удалённые, однако некоторые роли могут иметь особые требования к допустимости по местоположению. Наша команда Talent Acquisition сможет ответить на любые вопросы о локации после начала процесса найма.  

Политика конфиденциальности: Ознакомьтесь с нашей Политикой конфиденциальности при найме. Ваша конфиденциальность важна для нас.

GitLab гордится тем, что является работодателем равных возможностей и работодателем с политикой позитивных действий. Политики и практики GitLab в отношении найма, трудоустройства, карьерного развития и продвижения, повышения и выхода на пенсию основаны исключительно на заслугах, независимо от расы, цвета кожи, религии, происхождения, пола (включая беременность, лактацию, сексуальную ориентацию, гендерную идентичность или гендерное выражение), национального происхождения, возраста, гражданства, семейного положения, психической или физической инвалидности, генетической информации (включая семейный медицинский анамнез), статуса увольнения из вооружённых сил, защищённого статуса ветерана (включая ветеранов-инвалидов, недавно уволенных ветеранов, ветеранов действительной службы военного времени или обладателей знака кампании, а также ветеранов с медалью за службу в Вооружённых силах) или любого другого основания, защищённого законом. GitLab не будет мириться с дискриминацией или домогательствами на основании любой из этих характеристик. См. также Политику равных возможностей трудоустройства GitLab и EEO is the Law. Если у вас есть инвалидность или особая потребность, требующая адаптации, сообщите нам об этом в ходе процесса найма.