Staff Security Analyst, Governance and Trust

Chainguard — это надежный источник открытого программного обеспечения. Предоставляя усиленные, безопасные и готовые к производству сборки всего программного обеспечения с открытым исходным кодом, на которое полагаются инженеры и агенты ИИ, Chainguard помогает организациям быстрее создавать, оставаться в соответствии с нормативными требованиями и устранять риски. Среди наших клиентов — компании из списка Fortune 500 и мировые лидеры отрасли, включая Anduril, Canva, Fortinet, Hewlett Packard Enterprise, OpenAI, Snap Inc. и Snowflake. Chainguard получает венчурное финансирование от ведущих инвесторов, включая Amplify, IVP, Kleiner Perkins, Lightspeed Venture Partners, Mantis VC, Redpoint Ventures, Sequoia Capital и Spark Capital.

Суть роли: Chainguard создает безопасную основу для разработки и развертывания программного обеспечения. Наша команда по управлению и доверию гарантирует, что практики безопасности, лежащие в основе этой миссии, эффективны, измеримы и заслуживают доверия наших клиентов. Мы нанимаем старшего специалиста для руководства направлением соответствия нормативным требованиям и доверия в этой команде. Это не роль, основанная на простом следовании контрольному списку. Наша операционная модель рассматривает политики и средства контроля как код, извлекает доказательства из систем учета, а не из скриншотов, и использует агентов ИИ для первого прохождения ответов на анкеты и сортировки поставщиков. Клиенты Chainguard все чаще подпадают под регулирование, и вопросы, которые они задают, становятся все сложнее. Эта роль определяет, как мы на них отвечаем, и выдерживают ли наши ответы проверку аудитора. Вы будете создавать возможности для обеспечения соответствия нормативным требованиям и доверия в компании по безопасности, чей продукт — доверие, с возможностью возглавить команду, которая им управляет.

Мы живем и дышим нашими корпоративными ценностями:

• Мы одержимы клиентами — Мы фокусируемся на предоставлении решений нашим клиентам, которые создают ценность и делают их жизнь лучше
• Мы действуем целенаправленно — Мы расставляем приоритеты, планируем, пробуем, быстро терпим неудачу
• Мы не относимся к себе слишком серьезно (но выполняем серьезную работу) — Мы решаем важную проблему, которая требует сосредоточенности, но мы также любим наслаждаться процессом
• Мы доверяем друг другу и предполагаем добрые намерения — Мы прозрачны в принятии решений, чтобы дать сотрудникам возможность принимать обоснованные решения

Мы строим лучшую команду в сфере технологий и сосредоточены на найме "Chainguardians" с уникальным опытом, взглядами и навыками.

Вы будете руководить проведением наших внешних проверок (SOC 2, ISO 27001, Cyber Essentials и растущим набором отраслевых и региональных сертификаций), отвечать за то, как мы реагируем на запросы клиентов по безопасности, и управлять операциями по управлению рисками третьих сторон. Вы возглавите направление соответствия нормативным требованиям и доверия в команде, в которую входят аналитик по соответствию нормативным требованиям в государственном секторе и два аналитика по безопасности, работающих с клиентами. Ожидается формальное управление этой группой по мере роста команды. Вы будете тем, кто решает, что должны предоставлять эти системы, оценивает правильность того, что они производят, и отстаивает это перед аудитором или клиентом.

Что вы будете делать:

• Полное управление внешними проверками Chainguard: календарь доказательств, запросы на сбор данных и полноту/точность, предоставление образцов, звонки для определения статуса аудитора и оценка готовности перед каждым циклом. Работайте с руководителем отдела управления и доверия над областью применения, применимостью средств контроля и переговорами с аудитором
• Стройте и поддерживайте рабочие отношения с отделами кадров, ИТ, инфраструктуры, инженерии, юриспруденции и продаж, от которых зависят доказательства, сбор данных и исправление. Соответствие нормативным требованиям и доверие в Chainguard охватывают большую часть компании, и эта функция не должна преследовать другие команды, чтобы получить то, что ей нужно
• Отвечайте за запросы клиентов по безопасности: анкеты по безопасности, аудиты клиентов, контент Центра доверия и многоэтапные оценки, проводимые регулируемыми клиентами. Устанавливайте ожидания по срокам для отдела продаж, которые команда сможет выполнить, и решайте, что мы предоставим, а что нет
• Управляйте программой управления рисками третьих сторон: прием и классификация поставщиков, оценки, решения и реестр критически важных поставщиков и их соглашений
• Выступайте в качестве владельца продукта для клиентской части нашей платформы агентов: определяйте, что должны делать агенты для ответа на анкеты и сортировки поставщиков, поддерживайте проверенную базу ответов, на которую они опираются, и оценивайте, достаточно ли их выходных данных для отправки. Будьте в курсе того, как другие компании решают проблемы автоматизации запросов и ответов, и внедряйте лучшие подходы, когда они существуют
• Превращайте повторяющиеся шаблоны в анкетах, аудитах и обзорах поставщиков в постоянные артефакты, пакеты для самостоятельного использования и улучшения средств контроля, чтобы один и тот же вопрос отвечался один раз
• Работайте на основе единого каталога средств контроля по всем структурам и возвращайте дефекты сопоставления и реализации в сторону управления, а не поддерживайте списки, специфичные для каждой структуры
• Предоставляйте результаты и доказательства исправления, которые выдерживают внешние повторные проверки, и снабжайте процесс корректирующих действий первопричинами, а не симптомами
• Руководите работой аналитика по соответствию нормативным требованиям в государственном секторе по отношениям с оценщиками и работе с федеральными клиентами, при этом решения по техническому объему остаются за руководителем отдела управления и доверия
• Отвечайте за результаты, которые описываются в отчетах по направлениям соответствия нормативным требованиям и доверия для CISO: что было закрыто, что пропущено, сколько это стоило и что было защищено. Когда что-то пропускается, проводите ретроспективу и инициируйте кросс-командные действия, вытекающие из нее
• Наставляйте аналитиков в команде, давайте и получайте обратную связь в обоих направлениях и помогайте развивать команду по мере ее роста

• Вы были ведущим участником со стороны проверяемого лица при проведении комплексной проверки SOC 2 Type 2 и ISO 27001. Не просто участником: вы отвечали за сбор данных, выборку, полноту и точность, а также отношения с аудитором, и вы обсуждали применимость средства контроля или вопрос области применения с аудитором и можете рассказать, чем это закончилось
• Вы свободно владеете процедурами проверки клиентов в регулируемых отраслях: SIG, CAIQ, анкеты в стиле DORA, оценки через портал, аудиты клиентов. Вы понимаете коммерческие ставки и удерживали позицию перед отделом продаж, не теряя сделки
• Вы проводили оценки рисков поставщиков в большом объеме в рамках программы управления рисками третьих сторон и можете отличить решение, которое вы должны принять, от того, которое следует эскалировать
• Вы рассматриваете доказательства как данные. Вы комфортно работаете с данными, определенными запросами, доказательствами, извлеченными из систем идентификации, HR и облачных систем, а также с политиками и средствами контроля, управляемыми в Git. Вам не нужно писать код, но вы должны предпочитать систему скриншоту
• Вы работали в системе управления с функционирующим циклом корректирующих действий и знаете разницу между выполненным действием и эффективным средством контроля
• Вы руководили или наставляли младших специалистов и можете управлять очередью задач в соответствии с метриками. Вы хотите руководить командой и можете объяснить, почему
• Вы целенаправленно строите кросс-функциональные отношения и поддерживаете их. Доказательства, данные и исправления, от которых зависит эта роль, находятся в других командах, и роль терпит неудачу в изоляции
• Вы комфортно чувствуете себя, работая в международной среде: распределенная команда в США, Великобритании и Европе, клиенты и аудиторы в разных часовых поясах, а также режимы Великобритании и ЕС наряду с режимами США
• Вы проявляете здравомыслие под давлением проверки: когда следует оспаривать, когда следует уступать, когда следует отзывать устаревший артефакт, когда следует эскалировать
• Вы пишете ясно для аудиторов, клиентов и руководителей
• Опыт работы с требованиями к государственному сектору США (FedRAMP, GovRAMP, CMMC) или режимами Великобритании и ЕС (Cyber Essentials, UK GDPR, EU Cyber Resilience Act, DORA)
• Опыт миграции программы с платформы GRC или создания банков ответов, пакетов доверия или автоматизации ответов
• Знакомство с ISO/IEC 42001 или управлением ИИ
• Понимание концепций безопасности цепочки поставок программного обеспечения: SBOM, подписание, происхождение, SLSA
• CISA, ISO 27001 Lead Auditor или Lead Implementer или эквивалент

$151 000 — $178 000 USD

• Гибкая культура, ориентированная на удаленную работу: Работайте удаленно с возможностями встреч команды, двухгодичными саммитами в разных местах и ежемесячной стипендией для коворкингов, оплаты телефона и интернета
• Наш подход к акциям: Получайте опционы на акции при найме и повышении. Кроме того, вы можете участвовать во вторичных размещениях и иметь 10 лет для исполнения опционов (да, вы прочитали правильно: 10 лет!)
• 100% покрытие медицинской страховки: Мы покрываем 100% ваших медицинских, стоматологических и офтальмологических страховых взносов для вас и ваших иждивенцев. Ничего не вычитается из вашей зарплаты
• ∞ Гибкое время отпуска: Берите столько времени, сколько вам нужно — чтобы делать нашу лучшую работу, нам нужно восстанавливаться и перезаряжаться
• 18 недель оплачиваемого отпуска по уходу за ребенком: Мы предлагаем 18 недель для рожающих родителей и 12 недель для нерожающих родителей, с возможностью использовать его сразу или в течение первого года жизни ребенка