Senior Governance, Risk & Compliance Analyst

Название: Старший аналитик по управлению, рискам и соответствию (GRC) Местоположение: Иллинойс

Местоположение: Иллинойс Рабочее место: Безопасность Занятость: Полный рабочий день Тип публикации: Гибридный/удаленный

Обзор вакансии

Старший аналитик по управлению, рискам и соответствию (GRC) обеспечивает поддержку второй линии защиты для системы контроля Relativity в рамках модели трех линий Института внутренних аудиторов (IIA). Он самостоятельно отвечает за назначенные области контроля, проводит комплексное тестирование ИТ-контролей и консультирует команды первой линии по эффективному внедрению контролей под периодическим надзором руководства GRC и членов команды начального уровня. Эта должность отвечает за непрерывное тестирование общих ИТ-контролей (ITGC), поддержание назначенных частей Матрицы рисков и контроля (RCM) Relativity, а также за своевременное предоставление точных, полных и готовых к аудиту результатов. Ожидается, что специалист будет служить осведомленным ресурсом по обеспечению ИТ-рисков и будет обладать практическими знаниями в области управления, рисков и соответствия ИТ.

Ключевыми факторами успеха в этой роли являются:

• Сильное понимание рисков и качество принятия решений: самостоятельно анализирует и оценивает риски, отличает эксплуатируемую уязвимость от теоретических выводов и рекомендует пропорциональные меры с указанием ответственных лиц и сроков; способен руководить анализом сложных или нестандартных сценариев при минимальном надзоре.
• Практическое знание проектирования ИТ-контролей с технической глубиной, позволяющей проверить, что контроль действует там, где существует риск, а не просто его документированное наличие.
• Умение создавать и использовать автоматизированный сбор доказательств и тестирование контролей для известных систем, заменяя ручные доказательства и скриншоты запросами из авторитетных источников.
• Методичный решатель проблем, который творчески и последовательно устраняет неполадки – GRC — это не офис «Нет», мы расширяем возможности «Да».
• Вы самостоятельно и качественно выполняете определенные приоритеты и оперативно эскалируете проблемы, выходящие за установленные рамки.
• Вы гордитесь своей работой и несете ответственность за результаты порученных вам задач.
• Вы эффективно общаетесь и ведете переговоры с представителями инженерных, продуктовых и бизнес-подразделений, переводя технические детали в термины рисков и бизнеса и обратно, не теряя точности.
• Практическое знание общих фреймворков безопасности, нормативных актов и отраслевых стандартов, с возможностью разложения требований на реализуемый язык контроля.

Описание вакансии и требования

Каковы основные обязанности этой должности?

• Поддержка и выполнение мероприятий второй линии защиты. Поддержание назначенных политик и стандартов информационной безопасности в соответствии с системой контроля руководства и постоянная оценка адекватности и эффективности внедренных контролей.
• Выявление и отчетность по рискам с обоснованным, хорошо продуманным анализом, указанием предположений и степени уверенности; предоставление анализа пробелов и рекомендаций по устранению с указанием ответственных лиц и сроков.
• Предоставление руководства и толкований требований к контролю в назначенных областях контроля в соответствии с целями контроля.
• Мониторинг эффективности контроля и рекомендация оптимизации для первой линии защиты с целью рационализации контролей и их постоянного соответствия стандартам.
• Отслеживание, отчетность и учет недостатков контроля, исключений, пробелов и слабых мест в назначенных областях и их устранение.
• Поддержание и обновление назначенных записей в реестре рисков информационной безопасности и участие в квартальной отчетности для CISO и руководства.
• Агрегирование и отчетность по метрикам рисков руководству по информационной безопасности.
• Служить осведомленным ресурсом по природе, срокам и объему ИТ-контролей, соответствующих стандартизированным фреймворкам. Поддержка среды контроля, которая обеспечивает организационные результаты и снижает нагрузку на жизненный цикл аудита. Эксплуатация, мониторинг и помощь в оптимизации технической среды контроля в назначенных доменах. Проведение анализа ИТ-рисков в соответствии с аппетитом к риску и порогами, установленными руководством GRC и ERM.
• Разработка и проверка контролей для известных систем и шаблонов с применением стандартов архитектуры ИТ-контролей, установленных старшими членами команды, и предпочтение платформенной и конвейерной реализации перед контролями, зависящими от человеческой бдительности.
• Партнерство с инженерными и бизнес-командами для внедрения контролей, которые обеспечивают баланс между гарантией, операционной нагрузкой и технической поддержкой.
• Интерпретация и применение требований фреймворков к назначенным доменам контроля, выявление случаев, когда один контроль удовлетворяет нескольким фреймворкам, и различение того, что фреймворк требует, от условности или предпочтения.
• Поддержание практического знания стандартов, эталонов, фреймворков и нормативных указаний в области информационной безопасности, а также отслеживание пересмотров фреймворков и изменений в ожиданиях оценщиков, относящихся к назначенным областям.
• Поддержка внутренних аудитов, третьей линии защиты и соответствующих заинтересованных сторон в проведении комплексных общеорганизационных аудитов (например, SOX, ISO 27001, SOC 2, FedRAMP).
• Участие в периодическом анализе зрелости информационной безопасности по отношению к стандартам и поддержка подготовки отчетности руководства по зрелости программы безопасности.
• Диагностика и самостоятельное решение проблем в известных системах, последовательное формирование и проверка гипотез, сопоставление доказательств из разных источников и преобразование решений в автоматизированную проверку, чтобы избежать повторения одних и тех же проблем.
• Представление GRC интересов перед инженерами, продуктовыми и бизнес-партнерами, получение обязательств по устранению от команд, не входящих в прямую подчиненность; поддержка руководства GRC и службы безопасности на форумах руководителей, клиентов и аудиторов.
• Кросс-организационное сотрудничество для поддержки инициатив по подготовке к SOX и комплексных аудитов; разработка, тестирование и мониторинг контролей и выявление возможностей для унификации контролей с целью снижения организационных затрат на контроль и риска обнаружения. Периодическая отчетность соответствующим заинтересованным сторонам о прогрессе, статусе, исключениях и связанном профиле риска.
• Поддержка предварительных обзоров пакетов авторизации FedRAMP Moderate и/или High в соответствии с соответствующими критериями, проверка полноты доказательств и выявление пробелов до проведения внешних обзоров AO и 3PAO.

Минимальные требования:

• Более 4 лет профессионального опыта в аудите ИТ, управлении рисками или обеспечении соответствия, с практическим опытом тестирования ITGC.
• Практические знания и опыт работы с фреймворками рисков и контроля, включая NIST CSF 2.0, NIST 800-53, ISO/IEC 27001, AICPA Trust Services Criteria (SOC 2), COSO, COBIT и/или FedRAMP, включая перевод требований и перекрестную проверку общих контролей.
• Сертификация GRC продвинутого уровня, такая как Certified in Risk and Information Systems Control (CRISC), Certified in Governance, Risk and Compliance (CGRC), Certified Internal Auditors (CIA), ISO/IEC 27001 Lead Auditor или Lead Implementer, или GIAC Systems and Network Auditor (GSNA).
• Опыт поддержания и тестирования Матриц рисков и контроля (RCM) и соответствия фреймворкам в партнерстве с командами Security Engineering, IT и Product.
• Отличные навыки письменного и устного общения, с возможностью представления результатов тестирования, недостатков и рекомендаций по устранению как техническим, так и нетехническим заинтересованным сторонам.
• Понимание модели трех линий защиты и подтвержденный опыт проведения тестирования контролей второй линии, включая оценку и документирование недостатков.
• Практические знания общих ИТ/ИБ контролей – управление изменениями, доступ к программам и данным, разделение обязанностей, управление активами, компьютерные операции, практики шифрования и безопасная разработка систем – и их связь с прикладными контролями и целостностью данных.
• Опыт работы с технологиями GRC.
• Опыт использования инструментов ИИ для точной и эффективной поддержки основных обязанностей.
• Способность создавать документацию, подходящую для внутреннего и внешнего аудита.
• Надежные навыки решения проблем и критического мышления, с возможностью управления конкурирующими приоритетами и доведения назначенной работы до завершения.
• Способность получать и поддерживать соответствующие федеральные допуски США.

Предпочтительные квалификации:

• Опыт поддержки авторизации FedRAMP Moderate (или выше) и мероприятий по непрерывному мониторингу, и/или опыт аудита ИТ от Big 4 (или эквивалентного).
• Техническая грамотность в области языков сценариев или запросов (например, Python, PowerShell, SQL или аналогичных).
• Опыт создания автоматизированных рабочих процессов для/из систем GRC для повышения эффективности процессов.
• Опыт использования инструментов автоматизированного сбора доказательств или непрерывного мониторинга контролей.
• Опыт прямого взаимодействия с внешними аудиторами или оценщиками.
• Опыт предоставления коллегиальной оценки или руководства менее опытным аналитикам.

Relativity привержена конкурентной, справедливой и равноправной практике компенсации.

Эта должность имеет право на полную компенсацию, которая включает конкурентную базовую заработную плату, ежегодный бонус за производительность и долгосрочные стимулы.

Ожидаемый диапазон заработной платы для этой должности составляет от следующих значений: 90 000 - 136 000 долларов США

Окончательное предложенное вознаграждение будет зависеть от ряда факторов, включая, помимо прочего, глубину опыта кандидата, набор навыков, квалификацию и внутреннее равенство оплаты труда. Прием на работу по верхней границе диапазона не будет типичным, чтобы обеспечить будущий значительный рост заработной платы на этой должности.

Требуемые навыки: AICPA AT 101, Улучшение бизнес-процессов, COBIT, Фреймворк COSO, Federal Risk and Authorization Management Program (FedRAMP), Финансовые услуги, Информационная безопасность, Информационные технологии общие контроли (ITGC), Внутренние контроли, ISO27001, NIST 800-53, Улучшение процессов, Соответствие нормативным требованиям, Риск-менеджмент, Управление рисками