Должность: Старший специалист по информационной безопасности (GRC) Компания: Tabby Местоположение: ОАЭ / onsite

О нас: Tabby стремится дать людям контроль над своими деньгами. Слишком долго финансовые системы работали в интересах учреждений, которые их создали, а не людей, которые ими пользовались. Безудержные проценты, мелкий шрифт и ограниченный доступ оставили многих позади, заставив их почувствовать себя исключенными из системы, которая не способствовала их успеху. Мы создаем другую систему — полноценное финансовое приложение для отправки, траты и сбережения. Систему, которая ясна, гибка и дает людям и бизнесу контроль. Основанная в 2019 году, компания обслуживает клиентов и предприятия в Саудовской Аравии, Объединенных Арабских Эмиратах и Кувейте. Сегодня нам доверяют миллионы клиентов и 65 000 мировых брендов, государственных служб и малых предприятий. То, что началось как лучший способ оплаты при оформлении заказа, превратилось в финансовую систему, работающую так, как и должна была работать с самого начала.

О роли: Старший специалист по информационной безопасности (GRC) самостоятельно руководит сложными мероприятиями по управлению, оценке рисков и соблюдению нормативных требований, а также выступает в качестве эксперта в одной или нескольких областях GRC — управление корпоративной информационной безопасностью, фреймворки управления рисками, соблюдение нормативных требований или управление рисками сторонних поставщиков. Роль предполагает создание высококачественных результатов GRC, техническое наставничество младших и средних членов команды, а также прямое участие в непрерывном совершенствовании GRC-фреймворка организации, процессов обработки рисков и механизмов отчетности о соответствии. Старший специалист связывает техническое исполнение и руководство программой, сотрудничая с руководителями, юридическим отделом, аудитом и бизнес-стейкхолдерами для достижения зрелых и эффективных результатов GRC, соответствующих нормативной среде финтеха ОАЭ.

Руководство по управлению информационной безопасностью:

• Руководить разработкой, пересмотром и непрерывным совершенствованием политик, стандартов, процедур и фреймворков управления информационной безопасностью, обеспечивая их соответствие CSF, NCA ECC, ISO 27001 и PCI-DSS.
• Выступать в качестве эксперта по назначенным нормативным областям, предоставляя авторитетную интерпретацию требований и переводя их в реализуемые цели контроля.
• Отслеживать и проактивно следить за нормативными и законодательными изменениями, влияющими на информационную безопасность, оценивая их воздействие и рекомендуя обновления для фреймворка управления.
• Подготавливать и пересматривать управленческую документацию (матрицы RACI, обновления устава безопасности, пакеты документов для комитетов по управлению) и представлять результаты старшим стейкхолдерам.
• Руководить подготовкой нормативных самооценок и аттестаций соответствия, координируя сбор доказательств и проверяя качество представленных материалов перед утверждением руководством.
• Наставлять младших членов команды по вопросам качества управленческой документации, интерпретации нормативных требований и методологии оценки рисков.

Корпоративное управление рисками:

• Руководить выполнением сложных корпоративных оценок рисков информационной безопасности, применяя передовые качественные и количественные методологии для создания профилей рисков, соответствующих аппетиту организации к риску.
• Владеть и поддерживать реестр корпоративных рисков информационной безопасности, обеспечивая точность, актуальность и надлежащую эскалацию значительных рисков.
• Руководить процессами BIA для критически важных бизнес-функций, координируя работу с владельцами активов, анализируя требования к восстановлению и создавая результаты BIA для планирования непрерывности бизнеса и аварийного восстановления.
• Разрабатывать и выполнять программы тестирования эффективности контроля, создавая отчеты с анализом пробелов и рекомендациями по устранению рисков.
• Руководить управлением рисками информационной безопасности сторонних поставщиков, разрабатывая фреймворки оценки, проводя углубленные обзоры поставщиков и поддерживая реестр рисков сторонних поставщиков.
• Создавать отчеты о рисках для руководства с анализом тенденций, выявлением новых рисков и отслеживанием прогресса в их устранении для руководства и комитетов.

Реализация программы соответствия:

• Руководить мероприятиями по мониторингу соответствия CSF, NCA ECC, PDPL, ISO 27001 и PCI-DSS, создавая аналитические отчеты по пробелам, планы устранения и периодические отчеты о статусе соответствия.
• Управлять внутренними и внешними аудиторскими циклами, координируя сбор доказательств, проверяя качество доказательств, взаимодействуя с аудиторами и отслеживая устранение замечаний до полного закрытия.
• Разрабатывать и проводить программу повышения осведомленности о безопасности, создавая целевой контент для различных сегментов сотрудников, проводя занятия по повышению осведомленности и анализируя метрики эффективности.
• Разрабатывать и поддерживать дашборды с метриками GRC-программы, обеспечивая точное измерение KPI и KRI и своевременное представление их руководству.
• Руководить интеграцией требований информационной безопасности в контракты с третьими сторонами, процессы закупок и онбординг крупных проектов.
• Участвовать в разработке стратегии GRC-программы, выявляя возможности для улучшения возможностей и рекомендуя приоритеты инвестирования руководителю.

Межфункциональное сотрудничество и лидерство в области знаний:

• Выступать в качестве основного контактного лица GRC для назначенных команд по бизнесу и технологиям, предоставляя экспертные рекомендации по требованиям безопасности, устранению рисков и обязательствам по соблюдению нормативных требований.
• Руководить обзорами классификации информации и требований безопасности для значительных IT-, продуктовых и бизнес-проектов.
• Вносить вклад в базу знаний GRC, разрабатывая повторно используемые шаблоны, руководства и учебные материалы для внутреннего использования.
• Представлять GRC-функцию в межфункциональных рабочих группах, руководящих комитетах проектов и рабочих группах по нормативным вопросам.

Образование:

• Степень бакалавра в области информационных технологий, компьютерных наук, разработки программного обеспечения, кибербезопасности, управления рисками или смежной области.
• Степень магистра в области информационной безопасности, управления рисками или администрирования бизнеса является преимуществом.

Опыт:

• Более 3 лет профессионального опыта в области управления информационной безопасностью, управления рисками или соблюдения нормативных требований.
• Подтвержденный опыт самостоятельного руководства циклами оценки рисков, программами соответствия нормативным требованиям или мероприятиями по координации аудита.
• Требуется глубокое знание как минимум двух нормативных фреймворков, применимых к финтех-средам (CSF, NCA ECC, PDPL, ISO 27001, PCI-DSS).
• Опыт работы в регулируемой финтех- или банковской среде является большим преимуществом.

Сертификаты и лицензии:

• ISO 27001 Lead Implementer (требуется).

• CRISC (Certified in Risk and Information Systems Control) или CISM: требуется или активно в процессе получения.

• CDPSE (Certified Data Privacy Solutions Engineer) является преимуществом для специалистов по PDPL.

• Рабочая среда, которая предоставляет вам автономию и ответственность с первого дня.

• Вы должны быть готовы к тому, что качество вашей работы будет влиять на вашу карьеру.

• Участие в программе опционов сотрудников компании.

• Медицинская страховка

• Flexi Perks: Денежный бонус, который дает вам свободу использовать его по своему усмотрению — будь то для здоровья и благополучия, образования и профессионального развития или поездок!