MOO brings brands to life in a sustainable way, with a range of remarkable print and merchandise products. We combine design, technology, manufacturing and service, so that people can connect in memorable ways. Not online but out there, in real life.

We started in 2004. Since then we’ve built an award-winning and much-loved brand, with customer satisfaction and Trustpilot ratings that make most businesses want to give up and hire an army of review bots. We’ve got half a million customers, mostly small and medium businesses in North America, the UK, and Europe – businesses that, like us, get all excited about putting something real and beautiful into people’s hands. Does that make us nerds? Probably, and we’re ok with that.

We’ve been given the highest business award in Britain, ‘The Queen’s Award for Enterprise’. Backed by venture capital, we’re part of Tech Nation’s ‘Future Fifty’, recently passing $1bn in lifetime revenue, and featuring in the Guardian’s top 10 UK start-ups list. Ok, we’ll stop bragging now.

Today, we’re more than 400 people with our global HQ in London, UK, while we also have premises in Dagenham. In the US, you’ll find us in Boston, MA, as well as East Providence, RI and Denver, CO and with our most recent office expansion in Cape Town South Africa.

MOO is seeking an experienced Head of Information Security to review and re-build our security, privacy and resilience capabilities from the ground up and, in the first 12 months, to act as build lead for the digital and security aspects of a company-wide Business Continuity, Disaster Recovery and Incident Response programme. This is a standalone role, reporting to the Head of Legal It is not a caretaker or compliance-only position. You will operate as a hands-on builder defining strategy, establishing governance, writing playbooks, and directly influencing Engineering's roadmap and delivery practices to embed security, privacy and resilience by design.

The Person We Want We’re looking for a hands-on builder with a proven track record of building security, privacy and resilience programmes from the ground up. You’ll be comfortable working with executive and board level, while also getting into the details of security incident response, business continuity, disaster recovery, cloud security and data privacy. You’ll be pragmatic and business-focused, balancing security with delivery velocity and availability, and have a collaborative mindset as a partner, not an auditor or advisor.

Responsibilities

Strategic Security Leadership & Governance

Define and own information security strategy aligned with business objectives.
Establish security governance framework, including policies, standards, risk management and risk appetite.
Chair the Security Governance Forum and run a board-level reporting cadence.
Build a security roadmap prioritising compliance, privacy, AppSec and resilience.
Hold explicit authority to gate Engineering roadmap and release decisions on security and resilience grounds.
Drive adoption of UK Cyber Essentials across the business and CIS AWS Foundations for the Platform.
Stand up centralised monitoring and alerting across Security Hub and Wiz.

Incident Response, Business Continuity & Disaster Recovery

Own and continuously improve the security incident response plan and playbooks; act as incident commander when needed.
Create and maintain the Business Impact Analysis (BIA) and risk assessments to inform continuity strategies, covering cyber scenarios.
Define and maintain DR strategy, architectures and playbooks to meet RTO/RPO targets for in-scope services.
Design and own the data recovery strategy and identity recovery strategy.
Establish backup, restore and failover testing cadence with evidence of success criteria.
Lead security incident crisis management, including cross-functional command structure, executive communications, customer and regulator notifications, liaison with the cyber insurer/broker, and after-action reviews.
Plan, facilitate and participate directly in tabletop cyber exercises and live cyber simulations at least quarterly.
For any incident classified Severity 1 or 2, act as deputy incident decision-maker, holding delegated authority from the CFO to make time-critical operational decisions.

Data Privacy & Regulatory

Partner with Legal to own the GDPR programme end-to-end from an information security perspective, including DPIAs, ROPA, DSR handling, consent and lawful basis.
Partner with Legal to maintain DPAs, SCCs and appropriate transfer mechanisms for third countries.
Implement data classification and protection standards across structured and unstructured data.
Embed Privacy by Design and data minimisation into discovery, design and delivery processes.
Own the roadmap towards enterprise assurance frameworks, including UK Cyber Essentials and SOC 2 readiness.
Prepare for external audits and assessments and ensure customer security questionnaire responses reflect actual control status.

Third-Party & Cloud Security

Establish and run the vendor risk management programme with pre-procurement security gates, continuous monitoring SLAs and breach flow-down obligations.
Maintain a current inventory of third-party access and dependencies, including each vendor's own DR/BC posture.
Drive cloud security posture management and foundational controls including IAM, network segmentation, encryption and secrets.
Partner with Technology to eliminate shadow technology and tighten ownership/authorisation.

About You

6+ years in information security, with 3+ years of direct exposure to executive and board-level security reporting.
Proven track record building security, privacy and resilience programmes from the ground up, including authoring a company’s first Business Continuity Plan for information security.
Demonstrated experience running a Business Impact Analysis and translating it into a defensible Minimum Viable Company / recovery-tier model.
Expertise in GDPR and PCI-DSS, with hands-on ownership of DPIAs, DSRs and retention programmes.
Experience leading security incident response, business continuity, disaster recovery and crisis exercises.
Solid grasp of cloud security.
Strong understanding of e-commerce security (payments, customer data).
Excellent executive communication, able to brief the CFO and the Board directly and to hold the security incident-decision-maker role with credibility under pressure.
Strong stakeholder management across Engineering, Product, Legal, Finance and Operations, with the standing to influence Engineering roadmap decisions.
Pragmatic and business-focused, balancing security with delivery velocity and availability.
Collaborative mindset: a partner, not an auditor or advisor.

Nice to Have's

Experience with physical/production continuity planning.
AWS experience.
Working knowledge of UK Cyber Essentials and CIS AWS Foundations.
Experience driving DR maturity and recurring cross-functional simulations.
Experience with SOC 2 readiness.

What’s it like to work at MOO? MOO’s the kind of workplace where you can really be yourself. Dye your hair purple. Hit the sofa with your laptop. Whatever helps you feel comfortable and happy at work. We want to help you grow in your career and set you up for success – while also recognising the importance of a healthy work/life balance.

That’s why we offer 25 days holiday rising by one day for each year here (for 5 years), a matched pension scheme, and paid parental leave. We’ll offer you private healthcare, life insurance, a season ticket loan, and a cycle to work scheme. We also offer flexible work schedules with hybrid and remote working for certain roles as well as a Work From Anywhere program.

Diversity Statement We are working hard to create a representative, inclusive and super-friendly team, because we know that different experiences, perspectives and backgrounds make for a better workplace. And that creates a better experience for our customers. MOO doesn’t discriminate on the basis of race, colour, religion or belief, gender, national origin, age, sexual orientation, marital status, disability or any other protected class.

As a design and technology company we have a desire and a responsibility to build a business that represents the world around us. So we strive to create a values-driven, purposeful and highly empowered organisation that we are all proud to work for. And we are committed to continuous investment in building an open and inclusive environment, welcoming a diverse audience of candidates who see themselves working and thriving at MOO. Therefore, we’d like to invite you to complete this optional survey to help us evaluate our inclusion and diversity efforts. Completing this form is entirely voluntary and if you decide not to it won’t in any way affect your job application. We keep the information separate from your application and it is kept secure and confidential, it is only used to better our inclusion and diversity efforts. By submitting this information, you consent to MOO's processing of it for these purposes.

Responsibilities

Strategic Security Leadership & Governance

Define and own information security strategy aligned with business objectives.
Establish security governance framework, including policies, standards, risk management and risk appetite.
Chair the Security Governance Forum and run a board-level reporting cadence.
Build a security roadmap prioritising compliance, privacy, AppSec and resilience.
Hold explicit authority to gate Engineering roadmap and release decisions on security and resilience grounds.
Drive adoption of UK Cyber Essentials across the business and CIS AWS Foundations for the Platform.
Stand up centralised monitoring and alerting across Security Hub and Wiz.

Incident Response, Business Continuity & Disaster Recovery

Own and continuously improve the security incident response plan and playbooks; act as incident commander when needed.
Create and maintain the Business Impact Analysis (BIA) and risk assessments to inform continuity strategies, covering cyber scenarios.
Define and maintain DR strategy, architectures and playbooks to meet RTO/RPO targets for in-scope services.
Design and own the data recovery strategy and identity recovery strategy.
Establish backup, restore and failover testing cadence with evidence of success criteria.
Lead security incident crisis management, including cross-functional command structure, executive communications, customer and regulator notifications, liaison with the cyber insurer/broker, and after-action reviews.
Plan, facilitate and participate directly in tabletop cyber exercises and live cyber simulations at least quarterly.
For any incident classified Severity 1 or 2, act as deputy incident decision-maker, holding delegated authority from the CFO to make time-critical operational decisions.

Data Privacy & Regulatory

Partner with Legal to own the GDPR programme end-to-end from an information security perspective, including DPIAs, ROPA, DSR handling, consent and lawful basis.
Partner with Legal to maintain DPAs, SCCs and appropriate transfer mechanisms for third countries.
Implement data classification and protection standards across structured and unstructured data.
Embed Privacy by Design and data minimisation into discovery, design and delivery processes.
Own the roadmap towards enterprise assurance frameworks, including UK Cyber Essentials and SOC 2 readiness.
Prepare for external audits and assessments and ensure customer security questionnaire responses reflect actual control status.

Third-Party & Cloud Security

Establish and run the vendor risk management programme with pre-procurement security gates, continuous monitoring SLAs and breach flow-down obligations.
Maintain a current inventory of third-party access and dependencies, including each vendor's own DR/BC posture.
Drive cloud security posture management and foundational controls including IAM, network segmentation, encryption and secrets.
Partner with Technology to eliminate shadow technology and tighten ownership/authorisation.

About You

6+ years in information security, with 3+ years of direct exposure to executive and board-level security reporting.
Proven track record building security, privacy and resilience programmes from the ground up, including authoring a company’s first Business Continuity Plan for information security.
Demonstrated experience running a Business Impact Analysis and translating it into a defensible Minimum Viable Company / recovery-tier model.
Expertise in GDPR and PCI-DSS, with hands-on ownership of DPIAs, DSRs and retention programmes.
Experience leading security incident response, business continuity, disaster recovery and crisis exercises.
Solid grasp of cloud security.
Strong understanding of e-commerce security (payments, customer data).
Excellent executive communication, able to brief the CFO and the Board directly and to hold the security incident-decision-maker role with credibility under pressure.
Strong stakeholder management across Engineering, Product, Legal, Finance and Operations, with the standing to influence Engineering roadmap decisions.
Pragmatic and business-focused, balancing security with delivery velocity and availability.
Collaborative mindset: a partner, not an auditor or advisor.

Nice to Have's

Experience with physical/production continuity planning.
AWS experience.
Working knowledge of UK Cyber Essentials and CIS AWS Foundations.
Experience driving DR maturity and recurring cross-functional simulations.
Experience with SOC 2 readiness.

MOO воплощает бренды в жизнь экологичным способом, предлагая широкий ассортимент замечательной печатной продукции и товаров с фирменной символикой. Мы сочетаем дизайн, технологии, производство и сервис, чтобы люди могли устанавливать запоминающиеся связи. Не онлайн, а в реальной жизни.

Мы начали в 2004 году. С тех пор мы создали отмеченный наградами и всеми любимый бренд, с уровнем удовлетворенности клиентов и рейтингами Trustpilot, которые заставили бы большинство компаний сдаться и нанять армию ботов для отзывов. У нас полмиллиона клиентов, в основном малый и средний бизнес в Северной Америке, Великобритании и Европе — компании, которые, как и мы, испытывают восторг от того, что мы даем людям в руки что-то реальное и красивое. Делает ли нас это гиками? Скорее всего, и нас это устраивает.

Мы получили высшую бизнес-награду Великобритании — «Королевская награда за предпринимательство». При поддержке венчурного капитала мы входим в список Tech Nation 'Future Fifty', недавно преодолев отметку в 1 миллиард долларов совокупной выручки и попав в список 10 лучших стартапов Великобритании по версии Guardian. Ладно, прекращаем хвастаться.

Сегодня нас более 400 человек. Наш глобальный главный офис находится в Лондоне, Великобритания, а также у нас есть помещения в Дагенхэме. В США вы найдете нас в Бостоне, Массачусетс, а также в Ист-Провиденсе, Род-Айленд, и Денвере, Колорадо, а также с нашим недавним расширением офиса в Кейптауне, Южная Африка.

MOO ищет опытного Руководителя отдела информационной безопасности для пересмотра и восстановления наших возможностей в области безопасности, конфиденциальности и отказоустойчивости с нуля, а в течение первых 12 месяцев — для руководства цифровыми аспектами и аспектами безопасности общекорпоративной программы обеспечения непрерывности бизнеса, аварийного восстановления и реагирования на инциденты. Это самостоятельная роль, подчиняющаяся Руководителю юридического отдела. Это не роль хранителя или исключительно соответствия требованиям. MOO — это такое место работы, где вы можете быть самим собой. Красьте волосы в фиолетовый. Устраивайтесь на диване с ноутбуком. Все, что помогает вам чувствовать себя комфортно и счастливо на работе. Мы хотим помочь вам расти в карьере и добиться успеха, одновременно признавая важность здорового баланса между работой и личной жизнью.

Мы прилагаем все усилия для создания представительной, инклюзивной и чрезвычайно дружелюбной команды, потому что мы знаем, что разный опыт, взгляды и происхождение делают рабочее место лучше. А это создает лучший опыт для наших клиентов. Как дизайн- и технологическая компания, мы стремимся и несем ответственность за создание бизнеса, который отражает мир вокруг нас. Поэтому мы стремимся создать целеустремленную, целенаправленную и очень уполномоченную организацию, которой мы все гордимся. И мы стремимся к постоянным инвестициям в создание открытой и инклюзивной среды, приветствуя разнообразную аудиторию кандидатов, которые видят себя работающими и преуспевающими в MOO.

Вы будете работать как практик, определяя стратегию, устанавливая управление, составляя инструкции и напрямую влияя на дорожную карту и практики разработки для внедрения безопасности, конфиденциальности и отказоустойчивости по принципу "спроектировано с учетом требований".

Стратегическое руководство и управление в области безопасности

Определять и владеть стратегией информационной безопасности, согласованной с бизнес-целями
Создать систему управления безопасностью, включая политики, стандарты, управление рисками и допустимый уровень риска
Председательствовать на Форуме управления безопасностью и проводить регулярную отчетность на уровне совета директоров
Разработать дорожную карту безопасности, приоритизируя соответствие требованиям, конфиденциальность, безопасность приложений и отказоустойчивость
Обладать явными полномочиями для ограничения дорожной карты разработки и решений о выпуске по соображениям безопасности и отказоустойчивости
Продвигать внедрение UK Cyber Essentials во всей компании и CIS AWS Foundations для платформы
Настроить централизованный мониторинг и оповещение через Security Hub и Wiz

Реагирование на инциденты, обеспечение непрерывности бизнеса и аварийное восстановление

Владеть и постоянно совершенствовать план реагирования на инциденты безопасности и инструкции; при необходимости выступать в качестве руководителя реагирования на инцидент
Создавать и поддерживать анализ воздействия на бизнес (BIA) и оценки рисков для информирования стратегий непрерывности, охватывающих киберсценарии
Определять и поддерживать стратегию, архитектуры и инструкции по аварийному восстановлению для достижения целевых показателей RTO/RPO для охватываемых услуг
Разработать и владеть стратегией восстановления данных и стратегией восстановления идентификационных данных
Установить периодичность тестирования резервного копирования, восстановления и переключения с предоставлением доказательств критериев успеха
Руководить кризисным управлением инцидентами безопасности, включая межучрежденческую командную структуру, исполнительную коммуникацию, уведомления клиентов и регулирующих органов, взаимодействие со страховой компанией/брокером по киберрискам и анализ после инцидента
Планировать, проводить и непосредственно участвовать в настольных киберучениях и реальных киберсимуляциях не реже одного раза в квартал
При любом инциденте, классифицированном как Серьезность 1 или 2, выступать в качестве заместителя лица, принимающего решения по инциденту, обладая делегированными полномочиями от финансового директора для принятия критически важных по времени операционных решений

Конфиденциальность данных и регулирование

Сотрудничать с юридическим отделом для полного управления программой GDPR с точки зрения информационной безопасности, включая DPIA, ROPA, обработку DSR, согласие и законные основания
Сотрудничать с юридическим отделом для поддержания DPA, SCC и соответствующих механизмов передачи для третьих стран
Внедрять стандарты классификации и защиты данных в структурированных и неструктурированных данных
Внедрять принцип "Privacy by Design" (конфиденциальность по замыслу) и минимизацию данных в процессах обнаружения, проектирования и внедрения
Владеть дорожной картой к корпоративным системам обеспечения качества, включая UK Cyber Essentials и готовность к SOC 2.
Готовиться к внешним аудитам и оценкам, а также обеспечивать, чтобы ответы на анкеты по безопасности клиентов отражали фактическое состояние контроля

Безопасность третьих сторон и облачная безопасность

Создать и управлять программой управления рисками поставщиков с предварительными проверками безопасности перед закупкой, SLA непрерывного мониторинга и обязательствами по распространению информации об инцидентах
Поддерживать актуальный реестр доступа третьих сторон и зависимостей, включая собственный уровень DR/BC каждого поставщика
Обеспечивать управление состоянием облачной безопасности и базовыми средствами контроля, включая IAM, сетевую сегментацию, шифрование и управление секретами
Сотрудничать с отделом технологий для устранения теневых технологий и усиления контроля владения/авторизации

Мы ищем практичного специалиста с подтвержденным опытом создания программ обеспечения безопасности, конфиденциальности и отказоустойчивости с нуля. Вы будете комфортно работать с руководителями высшего звена и советом директоров, а также углубляться в детали реагирования на инциденты безопасности, обеспечения непрерывности бизнеса, аварийного восстановления, облачной безопасности и конфиденциальности данных. Вы будете прагматичны и ориентированы на бизнес, балансируя безопасность со скоростью доставки и доступностью, а также будете обладать совместным мышлением, выступая партнером, а не аудитором или консультантом.

Более 6 лет опыта в области информационной безопасности, из них более 3 лет прямого опыта отчетности по вопросам безопасности на уровне руководителей высшего звена и совета директоров
Подтвержденный опыт создания программ обеспечения безопасности, конфиденциальности и отказоустойчивости с нуля, включая разработку первого в компании Плана обеспечения непрерывности бизнеса для информационной безопасности
Демонстрируемый опыт проведения анализа воздействия на бизнес и его преобразования в защищенную модель минимально жизнеспособной компании / модели уровней восстановления
Экспертиза в области GDPR и PCI-DSS, с практическим владением DPIA, DSR и программами хранения данных
Опыт руководства реагированием на инциденты безопасности, обеспечением непрерывности бизнеса, аварийным восстановлением и проведением кризисных учений
Глубокое понимание облачной безопасности
Хорошее понимание безопасности электронной коммерции (платежи, данные клиентов)
Отличные навыки делового общения, позволяющие напрямую информировать финансового директора и совет директоров, а также выполнять роль лица, принимающего решения по инцидентам безопасности, с авторитетом под давлением
Сильные навыки управления заинтересованными сторонами в отделах разработки, продукта, юриспруденции, финансов и операций, с полномочиями влиять на решения по дорожной карте разработки
Прагматичность и ориентация на бизнес, балансирование безопасности со скоростью доставки и доступностью
Совместный подход: партнер, а не аудитор или консультант

Именно поэтому мы предлагаем 25 дней отпуска, увеличивающихся на один день за каждый год работы (до 5 лет), соответствующий пенсионный план и оплачиваемый отпуск по уходу за ребенком. Мы предложим вам частное медицинское страхование, страхование жизни, ссуду на покупку проездного билета и программу "велосипед на работу". Мы также предлагаем гибкий график работы с гибридным и удаленным форматом для определенных должностей, а также программу "Work From Anywhere".

Опыт планирования физической / производственной непрерывности
Опыт работы с AWS
Рабочее знание UK Cyber Essentials и CIS AWS Foundations
Опыт повышения уровня зрелости DR и проведения регулярных межфункциональных симуляций
Опыт подготовки к SOC 2.

Head of Information Security

Детали

Сопроводительное письмо к вакансии

Подходит ли тебе эта вакансия?

Похожие вакансии

GRC Security Specialist

Director of Cybersecurity & IT