Staff IT Auditor

Название: Штатный IT-аудитор Местоположение: Иллинойс Место работы: Безопасность Занятость: Полная Тип размещения: Гибридный/Удаленный

Обзор вакансии

Штатный IT-аудитор руководит второй линией обеспечения для системы контроля Relativity согласно модели трех линий Института внутренних аудиторов (IIA). Он(а) отвечает за интегрированный, межфункциональный дизайн IT-контроля и консультирует первую линию по эффективному внедрению контролей. Эта должность будет отвечать за непрерывное тестирование общих IT-контролей (ITGC) и постоянную адаптацию жизненного цикла матрицы рисков и контролей (RCM) Relativity. Ожидается, что сотрудник будет выступать в качестве эксперта по всем аспектам IT-обеспечения рисков и обладать глубокими знаниями в области IT-управления, рисков и соответствия требованиям.

Ключевые факторы успеха в этой роли:

• Экспертные знания в области анализа рисков и принятия решений, с демонстрацией опыта управления рисками.
• Экспертные знания в области архитектуры IT-контроля и необходимая техническая глубина для обоснования.
• Экспертные знания в области инжиниринга IT-обеспечения рисков и использования технологий для непрерывной валидации контролей.
• Способность мыслить системно, творчески решать сложные проблемы — GRC — это не офис «Нет», мы расширяем возможности «Да».
• Вы эффективно преобразуете стратегические цели в тактические действия с высоким уровнем самостоятельности и качества.
• Вы гордитесь своей работой и несете ответственность за результаты порученных вам задач.
• Вы способны выстраивать, коммуницировать и управлять взаимодействием с заинтересованными сторонами, обладая высоким уровнем влияния, и эффективно доносить сложные технические вопросы простым и понятным языком.
• Отличное владение и продвинутое знание распространенных структур безопасности, нормативных актов и отраслевых стандартов на глобальном уровне.

Описание вакансии и требования

Каковы основные обязанности этой роли?

• Разрабатывать, управлять, контролировать и оптимизировать деятельность второй линии защиты. Устанавливать и поддерживать политики и стандарты информационной безопасности, соответствующие системе контроля руководства, и устанавливать стандарты, против которых действует первая линия защиты. Постоянно оценивать адекватность и эффективность внедренных контролей.
• Выявлять и сообщать о рисках с высокой точностью анализа рисков и качеством принятия решений, предоставлять аналитические отчеты и планы по устранению для разработки и внедрения контролей и/или предлагать планы управления рисками.
• Предоставлять экспертные знания, руководство и интерпретацию требований к контролю, соответствующих целям контроля.
• Постоянно отслеживать эффективность контролей, разрабатывать планы оптимизации для первой линии защиты с целью рационализации контролей и дальнейшего согласования и соблюдения стандартов.
• Отвечать за полный цикл отслеживания, отчетности и учета недостатков и исключений в контроле, пробелов и уязвимостей.
• Вести, обновлять и ежеквартально отчитываться о реестре рисков информационной безопасности перед CISO, руководством и другими заинтересованными сторонами предприятия.
• Определять, агрегировать и сообщать показатели рисков руководству информационной безопасности, другим руководителям и совету директоров.
• Выступать в качестве эксперта, связанного с характером, сроками и объемом IT-контролей, соответствующих стандартизированным структурам. Обеспечивает, чтобы среда контроля поддерживала и способствовала достижению стратегических целей организации и снижала нагрузку на жизненный цикл аудита для ускорения инноваций и поддержания организационной гибкости. Разрабатывать, поддерживать, контролировать и оптимизировать техническую среду контроля. Сотрудничает с ERM для установления аппетита к IT-рискам, обеспечивая его соответствие организационному аппетиту к рискам и пороговым значениям.
• Устанавливает стандарты архитектуры IT-контроля и определяет авторитетную техническую позицию для архитектуры контроля, соответствующую таксономии рисков.
• Взаимодействует с другими подразделениями организации для разработки процессов, которые встраивают контроли, обеспечивая высокую степень гарантии и балансируя между операционной нагрузкой и техническими возможностями.
• Несет ответственность за решения, имеющие последствия для общеорганизационного аудита, сертификации и доверия клиентов.
• Сотрудничает с CISO, директором GRC и соответствующими руководителями при определении организационной стратегии сертификации и руководит интерпретацией обязательств по соответствию структурам, рационализируя перекрывающиеся требования в единый набор контролей с обоснованным наследованием и повторным использованием.
• Поддерживает продвинутое владение стандартами, эталонами, структурами информационной безопасности и нормативными руководствами, поскольку вы отвечаете за проактивную интерпретацию пересмотров структур, изменений в отраслевых стандартах и изменений в требованиях к тестированию со стороны оценщиков/аудиторов.
• Сотрудничает с третьей линией защиты, внутренним аудитом и соответствующими заинтересованными сторонами для успешного проведения интегрированных общеорганизационных аудитов (например, SOX, ISO, FedRAMP и т. д.).
• Проводит независимый анализ зрелости и возможностей информационной безопасности в соответствии со стандартами. Предоставляет полугодовые отчеты CTO, CAO и CFO о зрелости программ безопасности.
• Руководит диагностикой сложных, межсистемных и неоднозначных сбоев в работе контролей с минимальным надзором, эффективно работая в незнакомой архитектуре, сохраняя конкурирующие гипотезы без преждевременных обязательств и производя высокоточные аналитические данные, которые выдерживают независимую техническую проверку и проверку аудиторами без доработки.
• Представляет аспекты безопасности на важных форумах с минимальным надзором, информируя руководителей, клиентов, аудиторов, регуляторов и поставщиков по сложным техническим вопросам рисков и контроля, а также представляет основанные на данных позиции, которые выдерживают критику с минимальными исправлениями.
• Широко сотрудничает с другими подразделениями для поддержки инициатив по готовности к SOX и интегрированных аудитов; разрабатывая, проектируя и контролируя контроли, а затем оптимизируя их для снижения организационных затрат на контроль, создавая эффективность за счет гомогенизации контроля и обеспечивая снижение риска обнаружения во всем ландшафте контроля. Периодически отчитывается перед соответствующими заинтересованными сторонами о прогрессе, статусе, исключениях и связанном с ними профиле риска.
• Руководит и выполняет предварительные обзоры пакетов авторизации FedRAMP Moderate и/или High в соответствии с соответствующими критериями. Проверяет готовность и выявляет пробелы, обеспечивая готовность к оценке перед внешними действиями AO и 3PAO.

Минимальные квалификации

• 8+ лет профессионального опыта в области IT-аудита, управления рисками или соответствия требованиям, со значительным практическим опытом тестирования ITGC и опытом руководства деятельностью или программами обеспечения.
• Глубокое знание и опыт работы со структурами рисков и контролей, включая NIST CSF 2.0, NIST AI RMF, NIST 800-53, ISO/IEC 27001/27018, AICPA Trust Services Criteria (SOC 2), COSO, COBIT, FedRAMP Moderate и FedRAMP High и/или другие сопоставимые структуры, включая перевод целей/требований, рационализацию контролей и перекрестную привязку общих контролей.
• Продвинутые или высшие сертификаты GRC, такие как Certified Information Security Auditor (CISA), Certified Information Systems Security Professional (CISSP), Certified in the Governance of Enterprise IT (CGEIT) или другие соответствующие сертификаты.
• Подтвержденный опыт разработки, создания и мониторинга матриц рисков и контролей (RCM); определения структуры RCM, руководства периодическим обновлением и поддержания отображений структур в масштабе в партнерстве с командами Security Engineering, IT и Product.
• Отличные навыки письменного и устного общения, способность представлять результаты тестирования, темы недостатков и профиль риска руководству, а также техническим и нетехническим заинтересованным сторонам.
• Глубокое понимание стандартных организационных моделей управления и подтвержденный опыт планирования, определения масштаба, выполнения и надзора за программой тестирования контролей второй линии, включая оценку и отчетность по недостаткам.
• Экспертные знания общих IT/информационной безопасности, таких как управление изменениями, доступ к программам и данным, разделение обязанностей, управление активами, эксплуатация компьютеров, практики шифрования и безопасная разработка систем — и их связь с контролями приложений и целостностью данных.
• Обширный опыт и знания работы с GRC-технологиями.
• Опыт использования инструментов ИИ для быстрой, точной и эффективной поддержки основных обязанностей.
• Опыт проверки работы других аналитиков и поддержания стандартов документации, подходящих для использования внутренним и внешним аудитом.
• 4+ года опыта работы в GRC, поддерживающего авторизацию FedRAMP Moderate (или выше) и деятельность по непрерывному мониторингу. Способность получать и поддерживать соответствующий допуск правительства США.

Предпочтительные квалификации

• Техническая грамотность с любым языком программирования (например, Python, PowerShell, SQL или аналогичным)
• Опыт интеграции и создания автоматизированных рабочих процессов из соответствующих GRC-систем для повышения эффективности процессов.
• Опыт внедрения автоматизированного сбора доказательств или программ непрерывного мониторинга контролей.
• Опыт работы в качестве основного связующего звена с внешними аудиторами, регуляторами и заинтересованными сторонами третьей линии защиты.
• Дополнительные релевантные, продвинутые или высшие сертификаты помимо минимальных (например, CRISC, CGRC, CCSP, ISSAP, CIA, CISM)
• Опыт наставничества, обучения или функционального руководства аналитиками.
• Сильные навыки решения проблем и критического мышления, способность управлять конкурирующими приоритетами и доводить сложные инициативы до завершения.

Relativity стремится к конкурентоспособной, справедливой и равноправной практике компенсации. Эта должность имеет право на общую компенсацию, которая включает конкурентоспособную базовую заработную плату, ежегодный бонус за производительность и долгосрочные стимулы. Ожидаемый диапазон заработной платы для этой должности составляет от: 178 000 до 266 000 долларов США Окончательная предложенная заработная плата будет зависеть от нескольких факторов, включая, но не ограничиваясь, глубину опыта кандидата, набор навыков, квалификацию и внутреннее равенство оплаты труда. Найм на верхней границе диапазона не будет типичным, чтобы обеспечить дальнейший значительный рост заработной платы на этой должности.

Обязательные навыки

AICPA AT 101, Оптимизация бизнес-процессов, COBIT, COSO Framework, Federal Risk and Authorization Management Program (FedRAMP), Финансовые услуги, Информационная безопасность, Внутренние контроли, ISO27001, ITGC, NIST 800-53, Оптимизация процессов, Соответствие нормативным требованиям, Соответствие требованиям по рискам, Управление рисками