Principal Security Governance & Audit Specialist

Компенсация (Диапазон оплаты): 189 000 – 244 000 долларов США в год

Обзор компании

ID.me — это цифровая идентификационная платформа нового поколения, которая упрощает для пользователей безопасное подтверждение своей личности онлайн. Пользователи могут один раз подтвердить свою личность с помощью ID.me и беспрепятственно входить на различные веб-сайты, не создавая новых учетных записей и не проходя повторную проверку. Более 175 миллионов пользователей оценили упрощенный вход и проверку личности с помощью ID.me в 22 федеральных агентствах, 50 государственных агентствах штатов и более чем 100 медицинских организациях. Более 600 потребительских брендов используют ID.me для проверки сообществ и сегментов пользователей, чтобы отметить их заслуги и выстраивать более подлинные отношения. Технология ID.me соответствует федеральным стандартам аутентификации потребителей, установленным Министерством торговли, и одобрена Kantara Initiative как поставщик услуг аутентификации NIST 800-63-3 IAL2 / AAL2. ID.me стремится к реализации концепции «Никакой личности не останется без внимания» (No Identity Left Behind), чтобы предоставить всем людям безопасную цифровую идентичность. Узнайте больше на ID.me.

ID.me придерживается культуры полной занятости в офисе. Если в описании вакансии явно не указано иное, все должности предполагают работу в офисе пять дней в неделю в одном из наших офисов в Маклине, Вирджиния; Маунтин-Вью, Калифорния; Нью-Йорке, Нью-Йорк; или Тампе, Флорида. Определенные должности — такие как выездные продажи или другие должности, изначально предназначенные для удаленной работы, — могут иметь другие условия работы, как указано в соответствующих объявлениях.

В ID.me мы приветствуем вдумчивое использование инструментов ИИ в нашей повседневной работе, и бывают случаи, когда мы используем ИИ в процессе найма. Однако в ходе собеседования мы хотим понять ваши индивидуальные навыки и опыт. Поэтому у нас есть руководящие принципы по надлежащему использованию ИИ во время подачи заявления и собеседований, с которыми можно ознакомиться здесь.

О РОЛИ

Вы будете создавать наш Общий каркас управления (Common Control Framework, CCF) и управлять механизмом управления им: единым набором элементов управления, определенных один раз и сопоставленных с каждой имеющейся у нас или получаемой нами сертификацией. Вы будете отвечать за библиотеку политик, процесс исключений, ввод данных для каркаса и стратегическую отчетность, а также поддерживать CCF в актуальном состоянии при изменении стандартов.

Поскольку управление работает только в том случае, если элементы управления проходят аудит, вы также будете тесно сотрудничать с блоком аудита и обеспечения (Audit & Assurance). Вы будете понимать, как тестируются и подтверждаются элементы управления, чтобы то, что определяет управление, подлежало аудиту, а результаты аудита использовались для улучшения CCF. Вы присоединитесь к небольшой команде и будете работать с отделами Compliance Engineering, Legal, Privacy, Sales и с внешними аудиторами.

ОСНОВНЫЕ ОБЯЗАННОСТИ

• Общий каркас управления (Common Control Framework, CCF). Создание CCF с нуля (высший приоритет): определение структуры элементов управления и модели владения, написание единого набора элементов управления, готовых для инженерии, сопоставленных с SOC 2, ISO 27001, PCI DSS, HIPAA, FedRAMP и другими каркасами, разработка плана внедрения и поддержание его в актуальном состоянии при изменении стандартов.
• FedRAMP 20x. Ответственность за сопоставление требований FedRAMP 20x, включая ключевые показатели безопасности (Key Security Indicators, KSI) и машиночитаемую валидацию, с CCF. Определение цели элементов управления, подтверждения и критериев прохождения/непрохождения, которые Compliance Engineering автоматизирует, и отслеживание изменений в требованиях 20x.
• Библиотека PSSOP. Ответственность за библиотеку политик, стандартов и процедур: авторство, циклы рецензирования, утверждения, версионирование и отслеживаемость до элементов управления CCF.
• Управление исключениями. Полное управление процессом исключений: одобрение на основе оценки рисков, компенсирующие меры, отслеживание, истечение срока действия и повторная валидация. Отчетность по открытым и просроченным исключениям.
• Ввод новых каркасов и управление нормативными изменениями. Управление вводом новых каркасов, таких как ISO/IEC 42001, ISO/IEC 27701 и AIUC-1. Проведение оценок соответствия CCF, сопоставление требований с элементами управления и разработка планов по устранению недостатков с указанием владельцев и сроков.
• Внедрение и применимость. Определение того, какие требования применимы к новым продуктам, услугам и платформам. Однократная запись области действия и границ в CCF.
• Стратегия и отчетность. Подготовка периодических отчетов о соответствии требованиям, прогрессе сертификации и устранении недостатков для руководства. Поддержка бизнес-кейсов для сертификации с отделами Sales и GTM.
• Управление ИИ. Поддержка программы управления ИИ в соответствии с ISO/IEC 42001 и сопоставление элементов управления безопасностью ИИ с CCF.

ТАКЖЕ ВНОСИТЕ ВКЛАД В (AUDIT & ASSURANCE)

• Готовность к аудиту. Сотрудничество с отделом аудита по вопросам области аудита, ожиданиям в отношении доказательств и процедурам тестирования для SOC 2, ISO 27001, PCI DSS, HIPAA, FedRAMP и Kantara. Обеспечение возможности тестирования и подтверждения каждого элемента управления CCF.
• Поддержка аудита. Поддержка внешних аудитов и ежеквартальных внутренних аудитов: ответы на запросы аудиторов, разъяснение целей и интерпретации элементов управления, обеспечение соответствия аудиторских задействий CCF.
• Результаты и устранение недостатков. Преобразование результатов аудита и наблюдений в обновления CCF, изменения в политиках или исключения. Отслеживание устранения недостатков до завершения и поддержка запросов клиентов на обеспечение соответствия.
• Непрерывный мониторинг элементов управления. Работа с отделами Audit и Compliance Engineering для определения того, что отслеживается и что считается пройденным, чтобы CCF оставался тестируемым по мере роста автоматизации.
• Compliance Engineering. Предоставление инженерам четких требований, пользовательских историй и критериев приемки для автоматизации FedRAMP, OSCAL-based ConMon, сбора доказательств и защитных ограждений конвейера. Вклад в требования к платформе GRC и ее внедрение.
• Метрики и поддержка. Отслеживание охвата CCF, внедрения, срока действия исключений и готовности к аудиту, а также поддержка владельцев элементов управления и проведение информационных мероприятий.

ЧТО ВЫ ПРИВНЕСЕТЕ

• Более 8 лет опыта в области управления безопасностью, рисков и соответствия (GRC) в SaaS, облачных или корпоративных технологиях.
• Опыт создания набора элементов управления для нескольких каркасов с нуля, включая разработку элементов управления, модель владения и внедрение, а также сопоставление требований с элементами управления для SOC 2, ISO 27001, PCI DSS, FedRAMP.
• Рабочее знание FedRAMP, желательно FedRAMP 20x: ключевые показатели безопасности, непрерывная и автоматизированная валидация, а также машиночитаемые доказательства (например, OSCAL), и отличия этих аспектов от традиционного процесса авторизации.
• Опыт написания и поддержания политик, стандартов и процедур, а также управления процессом исключений на основе оценки рисков.
• Опыт оценки новых каркасов (например, ISO/IEC 42001, ISO/IEC 27701 или сопоставимого стандарта) по отношению к существующему набору элементов управления и разработки планов по устранению недостатков.
• Опыт работы с аудитом: вы поддерживали аудиты SOC 2, ISO 27001 или PCI DSS в качестве аудируемого или аудитора и понимаете тестирование элементов управления, выборку, качество доказательств и управление результатами.
• Рабочее знание AWS и распространенных платформ, таких как GitHub, SSO и CI/CD, достаточное для оценки области аудита и применимых требований.
• Способность преобразовывать требования соответствия в четкие инженерные требования с критериями приемки.
• Четкое письменное и устное общение, а также способность влиять на отделы Engineering, Legal, Privacy, Sales и аудиторов без прямого полномочия.

КАК ИЗМЕРЯЕТСЯ УСПЕХ

• 90 дней: базовые показатели библиотеки PSSOP и исключений; согласование дизайна, структуры, области действия и модели владения CCF; понимание аудиторского календаря, области действия и ожиданий в отношении доказательств; предоставление первого периодического отчета.
• 6 месяцев: создание и утверждение CCF v1, включая сопоставление FedRAMP 20x и согласование критериев автоматизации с Compliance Engineering; предоставление первых оценок соответствия (ISO/IEC 42001, ISO/IEC 27701, AIUC-1) с планами по устранению недостатков; работа процесса исключений с отслеживанием сроков действия; включение результатов аудита в обновления CCF; передача требований к элементам управления в Compliance Engineering.
• 12 месяцев: воспроизводимый процесс ввода для каждого нового каркаса; внедрение CCF в отделах разработки и актуальные сопоставления для всех сертификаций; поддержка аудитов без повторных замечаний по CCF; регулярная отчетность по охвату, исключениям и готовности к аудиту.

ПОЧЕМУ ЭТА РОЛЬ

Вы будете находиться на стыке определения и подтверждения элементов управления: формируя единый каркас, который служит для всех сертификаций, одновременно изучая, как он проходит аудит и автоматизацию.

Указанная годовая базовая зарплата не включает бонус компании, премии для сотрудников отдела продаж, опционы и льготы, которые будут определяться на основе опыта, навыков, образования, соответствующей подготовки, географического положения и должности.

ID.me предлагает комплексное медицинское страхование, стоматологическое страхование, страхование зрения, счет для сбережений на медицинские расходы (HSA), гибкие счета расходов (для медицинских расходов, ограниченных целей, расходов на иждивенцев, транспортные расходы), базовое и добровольное страхование жизни и от несчастных случаев (AD&D), пенсионный план 401(k) с соответствием взносов компании, отпуск по уходу за ребенком, возможность неограниченного оплачиваемого отпуска в соответствии с условиями политики PTO, включая 8 общекорпоративных праздников, страхование от временной и постоянной нетрудоспособности, страхование от несчастных случаев и критических заболеваний, политику бонусных выплат за рекомендации, программу поддержки сотрудников, страхование домашних животных, программу помощи в путешествиях, скидки на оздоровление и уход за детьми, услуги консультантов по льготам и пособия на обучение и развитие.

Окончательные предложения могут отличаться от указанной суммы в зависимости от квалификации, профессионального опыта, навыков, образования, соответствующей подготовки, географического положения и других факторов, связанных с работой.

Диапазон оплаты

189 000 – 244 000 долларов США

ID.me поддерживает рабочую среду, свободную от дискриминации, где сотрудники относятся с достоинством и уважением. Все сотрудники ID.me несут совместную ответственность за выполнение нашего обязательства по обеспечению равных возможностей трудоустройства. ID.me не дискриминирует ни одного сотрудника или кандидата по признаку возраста, происхождения, цвета кожи, отпуска по семейным или медицинским причинам, гендерной идентичности или выражения, генетической информации, семейного положения, состояния здоровья, национального происхождения, физических или умственных нарушений, политической принадлежности, статуса ветерана, расы, религии, пола (включая беременность), сексуальной ориентации или любой другой характеристики, защищенной применимыми законами, нормативными актами и постановлениями. ID.me придерживается этих принципов во всех аспектах трудоустройства, включая набор, наем, обучение, компенсацию, продвижение по службе, льготы, социальные и развлекательные программы, а также дисциплинарные меры. Кроме того, политика ID.me заключается в предоставлении разумных приспособлений квалифицированным сотрудникам с защищенными нарушениями в степени, требуемой применимыми законами, нормативными актами и постановлениями в месте работы конкретного сотрудника. По запросу мы предоставим вам более подробную информацию о таких приспособлениях.

Пожалуйста, ознакомьтесь с нашей Политикой конфиденциальности, включая нашу Политику CCPA, на сайте id.me/privacy. Если вы предоставите ID.me какую-либо личную идентифицирующую информацию, вы подтверждаете, что прочитали и согласны соблюдать условия, изложенные в нашей Политике конфиденциальности.

ID.me участвует в E-Verify.