AHEAD создает платформы для цифрового бизнеса. Объединяя достижения в области облачной инфраструктуры, автоматизации и аналитики, а также доставки программного обеспечения, мы помогаем предприятиям реализовать обещания цифровой трансформации.

В AHEAD мы уделяем приоритетное внимание созданию культуры принадлежности, где все точки зрения и голоса представлены, ценятся, уважаются и услышаны. Мы создаем пространства, чтобы дать каждому возможность высказаться, внести изменения и формировать культуру в AHEAD.

Это роль старшего консультанта, а не внутреннего специалиста по контролю и операциям. Вас будут представлять клиентам как авторитетного эксперта в области GRC (Управления информацией, рисками и соответствием) по безопасности. Вы будете диагностировать зрелость программ, проектировать целевые операционные модели, количественно оценивать риски в терминах бизнеса и оставлять клиенту фреймворки, артефакты и решения, которые он сможет использовать без вас.

Вы должны свободно владеть английским языком. Клиентская документация, выводы, отчеты для совета директоров, технические задания и живые семинары должны соответствовать стандартам для руководства и аудита. Свободного владения недостаточно. Требуется точный, лаконичный, обоснованный профессиональный английский язык под давлением времени.

Вы должны быть экспертом в NIST CSF, NIST SP 800-53, NIST SP 800-171, CIS Controls, Cyber Risk Institute (CRI) Profile и ISO/IEC 27001, а также уметь управлять рисками и количественно их оценивать, а не просто выставлять оценки.

Вы также должны быть консультантом: структурировать неопределенные проблемы, управлять старшими заинтересованными сторонами, проводить семинары, писать коммерчески качественные документы, отстаивать рекомендации и передавать возможности клиенту.

Почему эта роль считается старшей

Ожидается, что вы будете работать с минимальным надзором над сложными проектами, охватывающими несколько фреймворков. Типичная работа включает готовность к соблюдению нормативных или контрактных требований (включая CUI / 800-171), создание профилей CSF или CRI, проектирование ISMS ISO 27001 или поддержку сертификации, рационализацию контроля между перекрывающимися фреймворками и количественный анализ рисков для советов директоров, CISO и комитетов по рискам.

Вы часто будете самым старшим специалистом по GRC в комнате. Это означает, что вы устанавливаете метод, поддерживаете уровень качества и четко указываете, когда контроль, оценка или «зеленый» статус не являются синонимом приемлемого остаточного риска.

Основные задачи

• Обеспечивать аналитическое и консультационное качество назначенных рабочих потоков GRC от этапа определения объема до представления результатов и передачи знаний.
• Преобразовывать перекрывающиеся фреймворки контроля в единую связную модель контроля и доказательств, которой клиент может управлять.
• Формировать позиции по рискам, сочетающие обоснованное качественное суждение с количественной оценкой, которую может использовать бизнес.
• Управлять проектом как консультант: определение объема, заинтересованные стороны, семинары, проблемы, результаты и решения по дальнейшим шагам.

Обязанности

Консультирование клиентов и руководство проектами

• Формулировать постановки задач, объем проекта, предположения и критерии успеха с заказчиком и командой по работе с клиентом.
• Создавать планы работ, журналы RAID (Риски, Допущения, Зависимости, Проблемы) и карты заинтересованных сторон; поддерживать качество выполнения, даже когда доказательства или ответственность клиента неполны.
• Фасилитировать семинары с CISO, владельцами контроля, внутренними аудиторами, юридическим отделом, отделом закупок и руководителями бизнеса. Продвигать принятие решений, а не проводить совещания по статусу.
• Управлять сопротивлением, конфликтующими фреймворками и аргументами «у нас уже есть политика» без потери аудитории или фактов.
• Писать и представлять документы, которые проходят юридическую, аудиторскую и управленческую проверку: оценки текущего состояния, целевые операционные модели, перекрестные ссылки на контроль, реестры рисков, количественные сценарии, дорожные карты и отчеты для совета директоров.
• Обучать персонал клиента, чтобы программа не рухнула после окончания проекта. Ценность консалтинга — в передаче знаний, а не в объеме слайдов.
• Поддерживать предварительные продажи и определение объема по запросу: подход, объем работ, риски для выполнения и то, что означает «хорошо» для данного клиента.

Разработка, оценка и рационализация фреймворков

• Оценивать и проектировать в соответствии с NIST CSF (1.1 и/или 2.0): профили, результаты подкатегорий, уровни и CSF как основу для отчетности руководству.
• Оценивать и адаптировать NIST SP 800-53 (предпочтительно Rev. 5): семейства контроля, базовые уровни, наложения, общие/гибридные/специфичные для системы контроли и процедуры оценки.
• Оценивать внедрение NIST SP 800-171 для CUI: статус требований, цели в стиле 800-171A, определение областей применения потоков CUI, POA&M (Планы действий и вехи) и последствия обязательств подрядчика.
• Применять CIS Controls (предпочтительно v8) как приоритетный набор операционных контролей (IG1–IG3), сопоставленный с CSF и 800-53, а не как вторую бюрократическую систему.
• Интерпретировать и оценивать CRI Profile, включая диагностические утверждения и ожидания финансового сектора или критически важных сторонних поставщиков.
• Проектировать или обновлять ISMS ISO/IEC 27001: объем, SoA (Заявление о применимости), оценка и обработка рисков, взаимодействие с внутренним аудитом, входные данные для обзора руководством и готовность к сертификации или надзору.
• Создавать и поддерживать перекрестные ссылки, чтобы один контроль, один владелец и один пакет доказательств могли удовлетворять нескольким фреймворкам.

Верификация, доказательства и обоснованное написание

• Проектировать процедуры тестирования, оспаривать качество доказательств и писать описания недостатков и остаточных рисков, которые являются фактическими и недвусмысленными.
• Подготавливать клиентов к внутреннему аудиту, сертификационным органам ISO, оценкам заказчиков и запросам по 800-171 / CRI / CSF.
• Создавать резюме для руководства, на основе которых неспециалист-руководитель может действовать без переводчика.

Требуемые квалификации

• Высокий уровень владения письменным и устным английским языком на уровне, соответствующем стандартам для руководства, аудита и предоставления клиентских услуг. Грамматика, структура и тон должны быть последовательно профессиональными. Вы должны уметь объяснить сбой контроля, позицию по остаточному риску или количественный сценарий инженеру, аудитору и члену совета директоров в соответствующем для каждого регистре. Может потребоваться образец письменной работы или timed drafting exercise.
• Подтвержденный опыт работы в качестве старшего консультанта или аналогичного клиентского консультанта: определение объема неопределенных проблем, фасилитация семинаров для руководителей, управление сложными заинтересованными сторонами, создание коммерчески качественных документов, защита рекомендаций под давлением и передача методов клиенту. Опыт работы во внутренних операциях GRC сам по себе недостаточен, если вы не можете продемонстрировать те же навыки взаимодействия с клиентами.

Фреймворки (все требуются, с рабочим уровнем понимания, а не просто знакомством с аббревиатурами)

• NIST Cybersecurity Framework
• NIST SP 800-53
• NIST SP 800-171
• CIS Controls
• CRI Profile
• ISO/IEC 27001 (ожидается рабочее знание 27002)

Риски (требуется)

Сквозное управление рисками (идентификация, анализ, оценка, обработка, принятие, мониторинг) и количественная оценка рисков (сценарии, диапазоны, ожидаемые потери или эквивалент, явные допущения). «Высокий / средний / низкий» без методики не является квалификацией.

Опыт и образование

Примерно 5+ лет в сфере GRC по безопасности, управления рисками, аудита или обеспечения соответствия контролю, включая значительное время, проведенное в консалтинге, профессиональных услугах или аналогичной старшей консультативной должности. Степень бакалавра в соответствующей области или эквивалентный опыт. Старшинство оценивается по суждению, письму и влиянию на клиента — не по раздутому названию должности.

Почему AHEAD

Благодаря нашей повседневной работе и внутренним группам, таким как Moving Women AHEAD и RISE AHEAD, мы ценим и получаем пользу от разнообразия людей, идей, опыта и всего, что между ними.

Мы стимулируем рост, оснащая наш офис передовыми технологиями в лаборатории стоимостью в несколько миллионов долларов, поощряя межведомственное обучение и развитие, спонсируя сертификаты и квалификации для непрерывного обучения.

Льготы для сотрудников в Индии включают:

• Комплексное медицинское страхование для сотрудников с возможностью расширения покрытия на иждивенцев
• Оплачиваемый отпуск и государственные праздники, а также дополнительные отпуска в соответствии с политикой компании
• Гибкие условия работы, поддерживающие баланс между работой и личной жизнью
• Возможности обучения и развития для поддержки непрерывного роста и повышения квалификации
• Инициативы и программы по оздоровлению сотрудников, направленные на физическое и психическое благополучие
• Пенсионные и установленные законом льготы в соответствии с законодательством Индии
• Инклюзивная и ориентированная на людей культура с сильным акцентом на сотрудничество и ответственность