RocketHuntУмный поиск работы
Abound
Лондон, Великобритания1 месяц назад
Название: Специалист по GRC-безопасности Местоположение: Лондон / Гибридный формат
Мы пересматриваем потребительское кредитование в Великобритании и за ее пределами. Используя передовой ИИ и данные Open Banking, мы делаем справедливое, доступное личное финансирование доступным для большего числа людей. В то время как традиционные кредиторы почти полностью полагаются на кредитные рейтинги, мы рассматриваем полную финансовую картину — сколько вы тратите и сколько можете позволить себе погасить, чтобы построить более глубокое и точное понимание уникальной финансовой ситуации каждого клиента.
И мы показали, что это работает в масштабе. Мы выдали займы на сумму более 1,3 млрд фунтов стерлингов напрямую клиентам, обеспечивая при этом ведущие на рынке показатели кредитования — на каждые 10 неплатежей, ожидаемых в отрасли, мы видим только 3. Мы также достигли прибыльности всего через 2,5 года после запуска.
При поддержке финансирования на сумму более 2 млрд фунтов стерлингов от ведущих инвесторов, включая Citi, GSR Ventures и Deutsche Bank, мы признаны одним из самых быстрорастущих финтех-компаний Европы (Sifted, CNBC). Сейчас мы выходим на новые рынки и запускаем новые линейки продуктов — и мы ищем амбициозных людей, которые хотят быстро учиться, брать на себя ответственность и расти вместе с нами.
Мы формализуем нашу функцию обеспечения безопасности. У нас есть технические средства контроля и инженерная культура; теперь нам нужен уровень управления, который докажет это — нашим аудиторам, нашим спонсорам и нашему регулятору.
Вы будете движущей силой этого. Вы будете полностью отвечать за повторяющийся цикл обеспечения, управлять нашей программой безопасности сторонних поставщиков и будете тем человеком, который превратит доказательства в нечто, что удовлетворит команду по комплексной проверке или аудитора сертификации.
Вы будете отвечать за создание механизмов контроля, сбор доказательств и проверку поставщиков.
Проведение проверок безопасности новых поставщиков, поддержание первоначальной анкеты для получения оценки риска, работа с отделами закупок и юридическим отделом над графиками безопасности и защиты данных.
Поддержание модели категоризации поставщиков на основе критичности и управление циклом периодической повторной оценки для категоризированных поставщиков: истечение срока действия сертификата, изменения субпроцессоров, уведомления о нарушениях, производительность SLA.
Ведение реестров поставщиков и аутсорсинга, включая подготовку к реестру ключевых сторонних поставщиков FCA в соответствии с PS26/2 (правила действуют с 18 марта 2027 г.).
Отслеживание риска концентрации и планов выхода для критически важных поставщиков.
Обработка наших ответов на запросы по безопасности от спонсоров, банковских партнеров, институциональных инвесторов, коммерческих партнеров и потенциальных клиентов.
Создание и поддержание повторно используемого пакета доверия (trust pack): библиотека ответов, технический документ по безопасности (whitepaper), текущие сертификаты, подтверждения пентестов, предварительное заполнение стандартных анкет (SIG, CAIQ).
Превращение 40-часового ответа на индивидуальную анкету в 4-часовой.
Ведение ежегодного календаря мероприятий по обеспечению безопасности и обеспечение того, чтобы каждое из них состоялось, предоставило доказательства и закрыло свои действия: тесты на проникновение, проверки доступа, тесты на аварийное восстановление, настольные учения, проверки политик, повторные оценки поставщиков, обучение по осведомленности.
Координация внешних тестов на проникновение: определение объема, выбор поставщика, планирование, анализ результатов, отслеживание исправления, повторное тестирование.
Организация настольных учений, включая разработку сценариев и отслеживание действий после учений.
Ведение реестра рисков информационной безопасности: управление циклом оценки, запись планов обработки с указанием владельцев и сроков, отслеживание выполнения.
Администрирование процесса исключений из политики и принятия рисков, обеспечение того, чтобы каждое исключение имело владельца, было ограничено по времени и проверялось по истечении срока действия.
Проведение первоначального тестирования средств контроля: выборочное тестирование на предмет соответствия ключевых средств контроля проектным требованиям и сохранение доказательств.
Подготовка аналитических отчетов (MI) по безопасности для Руководителя отдела безопасности, которые будут представлены Исполнительному комитету и Комитету по рискам.
Консолидация результатов из различных источников — EDR, состояние безопасности облака, SAST/DAST/SCA, сканирование секретов, тесты на проникновение — в единое представление с согласованными определениями уровней серьезности и SLA по устранению.
Анализ, маршрутизация и отслеживание устранения с инженерными командами; эскалация устаревших результатов.
Ответственность за отчетность по выполнению мероприятий по устранению.
Управление программой осведомленности: вводное обучение, ежегодное повышение квалификации, симуляция фишинга, целевое обучение для инженеров, отслеживание прохождения.
Координация проверки перед приемом на работу с отделом кадров.
Систему менеджмента информационной безопасности (СМИБ) по ISO 27001, к сертификации которой мы стремимся. Вы будете разрабатывать и поддерживать документацию по средствам контроля, заполнять Заявление о применимости (Statement of Applicability), собирать доказательства, координировать программу внутренних аудитов и будете основным контактным лицом для нашего внешнего аудитора. Руководитель отдела безопасности отвечает за структуру, объем и аппетит к риску.
Политики и стандарты: вы будете разрабатывать, пересматривать и продвигать политики для утверждения, а также отслеживать цикл пересмотра.
Реагирование на инциденты: вы будете поддерживать план реагирования на инциденты (IR) и соответствующие руководства, организовывать послеинцидентные обзоры, отслеживать действия по устранению и оказывать поддержку в уведомлении регуляторов (уведомление ICO о нарушении персональных данных в течение 72 часов; уведомление FCA в соответствии с Принципом 11 / SUP 15.3).
Непрерывность бизнеса и аварийное восстановление: вы будете поддерживать документацию и доказательства тестирования.
Безопасная разработка: вы будете помогать внедрять требования безопасности в SDLC и поддерживать сессии моделирования угроз.
Защита данных: вы будете поддерживать ведение RoPA, завершение DPIA и обработку DSAR совместно с юридическим отделом.
Первые 90 дней: вы знаете наш набор поставщиков и категоризировали его; опубликован и утвержден календарь обеспечения на следующие 12 месяцев; входящие запросы на комплексную проверку поступают к вам и уходят без необходимости переписывания их Руководителем отдела безопасности.
Шесть месяцев: существует пакет доверия (trust pack) и он используется; реестр рисков активен с назначенными планами обработки; сбор доказательств для ISO 27001 носит систематический характер, а не является авралом; существует реестр исключений.
Двенадцать месяцев: повторная оценка поставщиков проводится регулярно без напоминаний; реестр ключевых сторонних поставщиков готов к сроку к марту 2027 года; аналитические отчеты для Комитета по рискам пользуются доверием.
Три или более лет опыта работы в области обеспечения информационной безопасности, GRC или соответствия требованиям безопасности, по крайней мере часть из которых — в регулируемой среде финансовых услуг или в другой среде с реальным давлением со стороны внешнего аудита.
Практический опыт работы с ISO 27001, будь то эксплуатация СМИБ или прохождение сертификации.
Демонстрируемый опыт проведения оценок безопасности сторонних поставщиков или вендоров, а также опыт реагирования на входящие запросы по безопасности.
Умение разбираться в технических результатах — отчете об уязвимостях EDR, результатах пентеста, неправильной конфигурации облака — и формировать собственное мнение об уровне серьезности и реальной возможности эксплуатации, а не просто передавать рейтинг поставщика без изменений.
Четкий, лаконичный письменный английский язык. Большая часть этой роли заключается в написании документов, по которым нас будут оценивать внешние стороны.
Уверенность в себе, чтобы напомнить занятому инженеру, оспорить заявление поставщика и сообщить нам, когда ответ неудовлетворителен.
Опыт работы в облачной среде, желательно AWS.
Опыт масштабирования системы контроля по мере роста организации.
Знакомство с ожиданиями Великобритании по операционной устойчивости (SYSC 15A) и требованиями к аутсорсингу (SYSC 8).
Сертификаты, такие как CISM, CISA, ISO 27001 Lead Implementer или Lead Auditor, CRISC или CCSP. Нас больше волнует то, что вы сделали, чем то, что вы имеете.
Каждый владеет частью компании — опционы (equity)
Гибридный формат работы с 3 днями в офисе в неделю
25 дней отпуска в год плюс 8 банковских выходных
2 оплачиваемых дня волонтерства в год
Один месяц оплачиваемого отпуска после 4 лет работы
Сотруднический займ
Бесплатный абонемент в спортзал через WellHub
Бюджет на оздоровление команды для совместной активной деятельности — организация занятия йогой, урока тенниса или похода на скалодром
Оценка RocketHunt по реальным зарплатам
Грейд
Middle
Опыт работы
от 3 лет
Формат работы
Гибрид
Уровень английского
B2 - Выше среднего
ИИ напишет его по твоему резюме, останется только отправить
