Краткое описание работы
Советник по безопасности (старший консультант по кибербезопасности и соответствию) осуществляет активное управление практикой безопасности, выступая в роли назначенного офицера по безопасности (vCISO) для портфеля клиентских организаций. Роль сочетает в себе практическую реализацию требований соответствия с управлением отношениями с клиентами, управлением рисками и постоянной консультативной работой по вопросам безопасности. Для выполнения роли требуется экспертное знание нормативных рамок соответствия, сильные навыки коммуникации с клиентами и организационная дисциплина для управления большим количеством одновременных проектов. Эта позиция относится к старшему уровню практики: она включает самые сложные и с наивысшим регуляторным риском проекты в портфеле и устанавливает технический стандарт для результатов соответствия практики.
Обязанности
1. Консультирование клиентов и выполнение функций vCISO:
- Выступать в роли назначенного офицера по безопасности (vCISO) для портфеля клиентских проектов: проводить регулярные встречи, быть основным контактным лицом по вопросам кибербезопасности клиентов и предоставлять регулярные обновления и отчёты о состоянии инициатив по безопасности, включая показатели эффективности, выявленные проблемы и рекомендации по улучшению.
- Строить крепкие отношения с клиентами, понимать уникальные регуляторные и бизнес-требования каждого клиента и решать их задачи с помощью индивидуальных стратегий и дорожных карт по безопасности.
- Выявлять потребности, выходящие за рамки контракта, и возможности для расширения программ безопасности в назначенных аккаунтах, предоставляя рекомендации по оптимизации и расширению руководству практики до обновления контрактов.
- Отслеживать и поддерживать состояние контрактов, обеспечивая своевременное информирование о проблемах с выполнением обязательств.
2. Реализация программ соответствия:
- Руководить подготовкой к CMMC уровня 1 и уровня 2: оценка контролей по NIST SP 800-171, разработка плана безопасности системы (SSP), создание и управление планом действий и мер (POA&M), поддержка подачи результатов в SPRS, сбор доказательств и подготовка клиентов к сторонней оценке.
- Консультировать клиентов по вопросам определения объёма CUI, обязательствам по DFARS 252.204-7012 и FAR 52.204-21, а также архитектурам анклавов, включая среды Microsoft GCC High.
- Выполнять проекты по соответствию в рамках дополнительных нормативных актов по мере необходимости, включая HIPAA / HITECH, SOC 2 (Типы I и II), PCI DSS v4.0, правило FTC Safeguards, GLBA, ISO/IEC 27001 и 27002, NIST Cybersecurity Framework 2.0, NIST SP 800-53, CIS Critical Security Controls v8 и управление ИИ (NIST AI RMF, ISO/IEC 42001).
- Консультировать по отраслевым и региональным требованиям по мере необходимости, включая NY DFS 23 NYCRR Part 500, правила раскрытия информации по кибербезопасности SEC, политику безопасности CJIS, готовность к StateRAMP / FedRAMP и законы штатов США о конфиденциальности (CCPA/CPRA и последующие), а также GDPR и ISO/IEC 27701 для клиентов с международным присутствием.
- Сопоставлять пересекающиеся наборы контролей между рамками для создания единой матрицы контролей, устраняя дублирование сбора доказательств по одновременным обязательствам клиента по соответствию.
3. Оценка безопасности и поддержка инженерных задач:
- Проводить комплексные оценки рисков для выявления потенциальных угроз и уязвимостей, разрабатывать и внедрять стратегии смягчения для повышения уровня безопасности клиентов, а также контролировать соблюдение нормативных требований и отраслевых стандартов, рекомендуя меры по устранению выявленных недостатков.
- Координировать сбор данных для проверки соответствия и получения критической информации о безопасности в инфраструктуре клиентов, обеспечивая точность и надежность.
- Анализировать результаты работы средств безопасности в экосистеме Microsoft (Defender XDR, Sentinel, Entra ID Protection, Intune, Purview, Conditional Access) и координировать устранение проблем с ИТ-командами клиентов и внутренними инженерами.
4. Прочие обязанности:
- Выполнять общие обязанности офицера по безопасности, такие как проведение совещаний по безопасности, поддержка заполнения анкет и подтверждений для киберстрахования, обеспечение работоспособности средств безопасности для назначенных клиентов.
- Помогать в мероприятиях по реагированию на инциденты (IR), включая возможное участие в ротации дежурств по эскалации инцидентов, поддержку координаторов SOC, коммуникацию с ключевыми заинтересованными сторонами во время инцидентов, участие в разработке сценариев реагирования и проведении послесобытийного анализа с клиентами.
- Вести точный и своевременный учёт рабочего времени в PSA (ConnectWise Manage); отработанные часы являются операционным и финансовым источником правды для практики.
- Вносить вклад в создание масштабируемых шаблонов, процессов взаимодействия и базы знаний практики, способствуя культуре постоянного улучшения и обмена знаниями.
- Выступать в роли ресурса для эскалации по вопросам сложной интерпретации рамок и определения контролей, а также поддерживать проверку качества результатов соответствия перед их передачей клиентам или оценщикам.
- Следить за новыми угрозами, уязвимостями и изменениями в нормативной базе — включая поэтапное внедрение CMMC Министерством обороны — оценивать их потенциальное влияние на клиентов и соответствующим образом корректировать стратегии.
Требования к кандидату
Квалификации и требования к кандидатам:
- CISSP (активный и в хорошем статусе) — обязательно на момент найма. Это жёсткое требование: обязательства получить сертификат, просроченные или сертификаты уровня Associate, а также замены опытом не рассматриваются.
- Требуются сертификаты экосистемы CMMC: CCP (Certified CMMC Professional) активный на момент найма, с обязательным получением CCA (Certified CMMC Assessor) в течение первых 12 месяцев. Статус Registered Practitioner (RP) сам по себе не удовлетворяет этому требованию.
- Дополнительные сертификаты приветствуются: CISM, CRISC, CISA, GIAC (GSLC, GCCC), CompTIA Security+, Security X, Microsoft SC-серии.
- Минимум восемь (8) лет прогрессивного опыта в области информационной безопасности, включая не менее трёх (3) лет работы по проектам соответствия или vCISO с портфелем нескольких клиентов в консалтинге, MSP или MSSP или аналогичной среде.
- Подтверждённый опыт владения как минимум двумя (2) завершёнными проектами подготовки к CMMC уровня 2 или эквивалентной оценкой по NIST SP 800-171, включая авторство SSP и управление POA&M до сторонней оценки.
- Документированное глубокое знание минимум трёх (3) различных нормативных рамок — поверхностное знакомство с множеством рамок не заменяет глубокое понимание.
- Опыт защиты результатов и определений контролей непосредственно перед аудиторами, сторонними оценщиками или регуляторами.
- Статус лица США (гражданин США или законный постоянный житель) обязателен из-за доступа к Контролируемой неклассифицированной информации (CUI) в рамках обязательств DFARS.
- Удалённая работа из США с надёжной доступностью в рабочих часах по часовым поясам США; возможны редкие поездки к клиентам для поддержки оценки.
Технические навыки:
Знания в области кибербезопасности и соответствия:
- Рабочее владение принципами и практиками кибербезопасности, включая стандарты и нормативы соответствия, такие как CMMC / NIST SP 800-171 и 800-171A, NIST SP 800-53, NIST CSF 2.0, HIPAA / HITECH, SOC 2, PCI DSS v4.0, правило FTC Safeguards, GLBA, ISO/IEC 27001 / 27002 и CIS Controls v8.
- Знакомство с нормативами федеральных контрактов — DFARS 252.204-7012, 7019, 7020 и 7021, FAR 52.204-21, маркировка и обработка CUI согласно 32 CFR Part 2002, а также поэтапное внедрение CMMC.
- Осведомлённость о смежных режимах конфиденциальности и отраслевых требованиях: законы штатов США о конфиденциальности, GDPR, NY DFS Part 500, обязательства по раскрытию информации SEC и CJIS.
- Опыт реагирования на инциденты и стратегий смягчения угроз.
Управление рисками:
- Умение проводить комплексные оценки рисков и сопоставлять результаты с контролями безопасности.
- Опыт создания и поддержания планов устранения недостатков (POA&M) и стратегий смягчения.
Технические инструменты:
- Знакомство с инструментами и технологиями кибербезопасности (например, SIEM, EDR/XDR, IDS/IPS, межсетевые экраны), предпочтительно опыт работы с экосистемой Microsoft Security.
- Опыт работы с платформами GRC и соответствия (например, IntelliGRC, Vanta, Secureframe, Drata, Onetrust, FutureFeed) и процессами сбора доказательств.
Навыки управления проектами:
- Способность управлять большим количеством одновременных клиентских проектов (20–30 отношений) с дисциплинированным приоритизированием.
- Сильные навыки планирования и выполнения; владение PSA/тикет-системами и инструментами отслеживания проектов.
- Умение работать в рамках — и улучшать — стандартизированные шаблоны и процессы доставки.
Межличностные навыки:
- Отличные коммуникативные навыки для взаимодействия с заинтересованными сторонами клиентов от ИТ-персонала до руководителей; способность переводить технические выводы в бизнес-термины.
- Умение строить и поддерживать крепкие отношения с клиентами и эффективно работать с координаторами и распределённой командой.
Аналитические и отчетные навыки:
- Умение отслеживать и отчитываться по метрикам проектов, статусу соответствия и прогрессу по результатам.
- Владение навыками подготовки ясных отчетов для клиентов и руководства.
- Экспертиза в мониторинге нормативного соответствия и совершенствовании политик и процедур безопасности на основе лучших отраслевых практик.
Профессиональное развитие:
- Обязательство поддерживать актуальность знаний о новых тенденциях и технологиях в области кибербезопасности, экосистеме CMMC и изменяющихся требованиях соответствия.
- Участие в отраслевых тренингах, конференциях и поддержание сертификатов.
Оплата труда
Заработная плата начинается от $95,000.00 до $120,000.00 в год (включая бонусы за выполнение, выплачиваемые ежемесячно) и может варьироваться в зависимости от опыта и местоположения.
Преимущества
- Медицинская страховка
- Стоматологическая и офтальмологическая страховка
- Страхование жизни
- Страхование от несчастных случаев
- Оплачиваемый отпуск (начинается с 15 дней в год)
- Оплачиваемый декретный/отцовский отпуск
- Оплачиваемые государственные праздники США
- Пенсионный план
- Повышение зарплаты/займы
- Программа здоровья и благополучия
- Обучение и сертификация за счёт компании
- Дополнительное страхование жизни (оплачивается сотрудником)
- Дополнительные медицинские планы (оплачиваются сотрудником)
Предупреждение о мошенничестве – мошенничество при найме
Компания Intelligent Technical Solutions (ITS) информирована о мошеннических вакансиях и сообщениях, выдающих себя за нашу компанию. Кандидатам рекомендуется проявлять осторожность и подавать заявки только через официальные каналы ITS.
- ITS не запрашивает оплату или финансовую информацию на любом этапе процесса найма.
- Чувствительная личная информация (например, номера социального страхования) не запрашивается до официального предложения о работе.
- Нам известно о поддельных профилях в LinkedIn, Facebook и других социальных сетях, выдающих себя за наших сотрудников и ложно утверждающих, что представляют нашу компанию. Пожалуйста, будьте осторожны при взаимодействии с такими аккаунтами.
- Если вы получаете подозрительные сообщения или запросы, не вступайте в контакт. Сообщайте о них на careers@itsasap.com.
- Все проверенные вакансии размещены здесь: https://www.itsasap.com/job-openings.
Пропустите ожидание, ускорьте своё заявление и сразу приступайте к следующей большой возможности. Начните своё мгновенное интервью сейчас:
ПРЕДЗАПИСАННОЕ ВИДЕОИНТЕРВЬЮ
