GRC Analyst - Public Sector

Вознаграждение: $120K - $145K в год

ПОЧЕМУ SOCURE?

Socure создает инфраструктуру доверия к личности для цифровой экономики — проверяя 100% добросовестных личностей в режиме реального времени и предотвращая мошенничество до его возникновения. Миссия масштабна, проблемы сложны, и влияние ощущается бизнесом, правительствами и миллионами людей каждый день.

Мы нанимаем людей, которые хотят такого уровня ответственности. Людей, которые быстро двигаются, критически мыслят, действуют как владельцы и глубоко заботятся о точном решении проблем клиентов. Если вы хотите предсказуемости или узкой сферы деятельности, это не для вас. Если вы хотите помочь построить будущее идентификации с командой, которая предъявляет к себе высокие требования — читайте дальше.

ОБЗОР

Socure ищет аналитика GRC – Public Sector для непосредственной реализации операций компании по управлению, рискам и соответствию (governance, risk, and compliance — GRC) для бизнеса в государственном секторе. Подчиняясь директору GRC – Public Sector, эта роль отвечает за ежедневное проведение непрерывного мониторинга FedRAMP/GovRAMP, создание и ведение трекеров POA&M (План действий и вех) и соответствия, которые поддерживают программу в состоянии готовности к аудиту, а также за координацию обзоров доступа, устранения уязвимостей и сбора доказательств с командами Security, Engineering, IT, DevOps, Product, Legal и другими. По мере того как аналитик приобретает опыт в этих операционных основах, роль расширяется и включает в себя разработку клиентского контента по соответствию и ответов на RFP, который делает позицию Socure в области безопасности привлекательной для покупателей из государственного сектора, а также поиск улучшений, ориентированных на автоматизацию и системное управление, включая машиночитаемые форматы, такие как OSCAL, и рабочие процессы с использованием ИИ, которые сокращают ручной труд и бросают вызов традиционным методам работы команды.

РОЛЬ И ОБЯЗАННОСТИ

УПРАВЛЕНИЕ СООТВЕТСТВИЕМ И СЕРТИФИКАЦИЕЙ

• Ежедневная координация и проведение внешних оценок сторонними организациями по оценке (3PAO) и ответы на запросы аудиторов о доказательствах и документации.

• Поддержание и обновление элементов управления и документации FedRAMP и GovRAMP в соответствии с организационными и нормативными требованиями, включая элементы управления, соответствующие NIST SP 800-53 rev 5 и другим соответствующим фреймворкам.

• Подготовка пакетов сертификации и авторизации и ведение сопутствующей документации, такой как План безопасности системы (SSP) и сопутствующие приложения.

• Замена ручного сбора доказательств на генерируемые системой, управляемые API или непрерывно проверяемые доказательства, где это возможно. Создание и ведение трекеров, процедур и артефактов отчетности о статусе, которые операционализируют эту работу, структурированных таким образом, чтобы другие заинтересованные стороны могли использовать их напрямую.

НЕПРЕРЫВНЫЙ МОНИТОРИНГ И УПРАВЛЕНИЕ УЯЗВИМОСТЯМИ

• Разработка и развитие программы непрерывного мониторинга, ориентированной на автоматизацию, с использованием системных интеграций, телеметрии и конвейеров данных в реальном времени.

• Руководство ежедневным процессом непрерывного мониторинга FedRAMP, включая жизненный цикл управления уязвимостями, от идентификации до устранения и проверки, координация с командами Security, Engineering и DevOps для решения проблем, выявленных с помощью таких инструментов, как Wiz, Burp Suite, нативные сервисы AWS и других платформ, и решение проблем в сроки, установленные FedRAMP и GovRAMP.

• Координация периодических мероприятий по обеспечению соответствия непрерывному мониторингу, таких как обзоры доступа, учения по реагированию на инциденты и тестирование планов непрерывности.

УПРАВЛЕНИЕ ДОСТУПОМ И ОБУЧЕНИЕ

• Разработка масштабируемых и автоматизированных механизмов проверки доступа, интегрированных с системами идентификации и инфраструктуры.

• Разработка, внедрение и проведение программ обучения FedRAMP для повышения осведомленности о соответствии.

• Создание и управление автоматизированными рабочими процессами для повышения эффективности.

ГОТОВНОСТЬ К АУДИТУ И ОЦЕНКЕ

• Преобразование доказательств соответствия из статических репозиториев в динамические, управляемые системой модели доказательств, поддерживающие готовность к аудиту в реальном времени.

• Проведение внутренних обзоров зарегистрированных событий и мероприятий по обеспечению соответствия, эскалация проблем или пробелов директору GRC и предоставление отчетов о статусе, подчеркивающих тенденции, риски и прогресс в устранении.

СОВЕРШЕНСТВОВАНИЕ ПРОЦЕССОВ И СОТРУДНИЧЕСТВО

• Сотрудничество с директором GRC для разработки рабочих процессов, ориентированных на автоматизацию и использующих ИИ, которые сокращают ручной труд и обеспечивают масштабируемые операции по обеспечению соответствия.

• Поддержка разработки, внедрения и обслуживания машиночитаемой документации по соответствию (например, OSCAL или сопоставимые структурированные форматы) для облегчения взаимодействия.

• Партнерство с командами по автоматизации и инжинирингу для интеграции структурированных данных о соответствии в более широкую экосистему управления рисками и мониторинга Socure, включая устранение уязвимостей, запросы доступа и отчетность о соответствии.

• Отслеживание нормативных и отраслевых тенденций на предмет потенциального влияния на стратегию соответствия.

ПРОДАЖИ В ГОСУДАРСТВЕННОМ СЕКТОРЕ И ВЗАИМОДЕЙСТВИЕ С КЛИЕНТАМИ

• Выступление в качестве эксперта по безопасности для мероприятий по продажам в государственном секторе, переводя элементы управления соответствием и возможности системы в четкие, точные и убедительные повествования для клиентов. Ожидается, что аналитик научится различать написание, которое подтверждает соответствие Socure требованию, и написание, которое убеждает покупателя из государственного сектора в том, что подход Socure удобен и превосходит конкурентов, при этом директор сохраняет окончательный обзор и утверждение, учитывая договорные и коммерческие ставки.

• Поддержка разработки внешних коммуникаций, таких как пресс-релизы и материалы для клиентов, связанные с сертификатами безопасности и авторизациями.

• Создание и ведение масштабируемых фреймворков ответов (например, библиотеки ответов, структурированный контент или инструменты с поддержкой ИИ) для обеспечения согласованности, точности и скорости ответов на RFP и RFx.

МОНИТОРИНГ ОБНОВЛЯЮЩИХСЯ ТРЕБОВАНИЙ

• Мониторинг новых и меняющихся требований и проведение анализа пробелов, включая:

  • Обновления применимых специальных публикаций NIST и других государственных стандартов
  • Требования безопасности контрактов от новых клиентов
  • Обновления требований и процессов программы FedRAMP по мере развития программы.

• Предоставление информации органам по стандартизации о развивающихся стандартах, где это применимо.

ТРЕБУЕМАЯ КВАЛИФИКАЦИЯ

• Более 4 лет практического опыта в области кибербезопасности, соответствия требованиям или управления идентификацией, включая продемонстрированное личное выполнение работы по FedRAMP, GovRAMP или сопоставимой работе по непрерывному мониторингу — проведение сканирований, создание или ведение POA&M и подготовка запросов на отклонение. Опыт работы в государственном секторе является плюсом, но не обязателен.

• Прямой опыт работы с FedRAMP, GovRAMP и фреймворками NIST (800-53, 800-63, 800-171).

• Подтвержденная способность лично выполнять непрерывный мониторинг, устранение уязвимостей и отчетность о соответствии.

• Подтвержденная способность разрабатывать и улучшать повторяемые процессы соответствия — выявлять неэффективность, определять четкие шаги и создавать структуру там, где ее нет; опыт использования инструментов ИИ (например, ChatGPT, Glean, Gemini) и машиночитаемых форматов (например, OSCAL) для ускорения этой работы является большим плюсом.

• Сильные коммуникативные, организационные навыки и навыки сотрудничества с возможностью управления несколькими приоритетами, включая сильные навыки письменного общения и способность писать убедительно для клиентской аудитории — в отличие от простого написания, соответствующего требованиям.

• Способность адаптироваться к меняющимся требованиям.

• Подтвержденный опыт взаимодействия с клиентами и достаточный опыт позиционирования продукта или продаж, чтобы отличать написание, соответствующее требованиям, от написания, которое убеждает покупателя; предыдущий опыт работы с RFP не требуется.

• Должен быть гражданином США (граждане США или постоянные жители США), проживающим в Соединенных Штатах, и иметь возможность получить допуск U.S. OPM NACI.

ПРЕДПОЧТИТЕЛЬНАЯ КВАЛИФИКАЦИЯ

• Опыт работы в регулируемых отраслях (например, финансовые услуги, здравоохранение) и знание фреймворков конфиденциальности и соответствия, таких как GDPR, CCPA и ключевых стандартов NIST.

• Предпочтительны профессиональные сертификаты (CISSP, CISM, CISA, IAPP).

• Подтвержденный практический вклад в инициативы по сертификации и соответствию (FedRAMP, GovRAMP, NIST 800-63/171).

• Опыт в непрерывном мониторинге, управлении уязвимостями, обновлении политик и координации аудита между кросс-функциональными командами. Также ценится: подтвержденный опыт проактивного выявления и устранения пробелов в процессах, без ожидания указаний.

• Глубокое понимание развивающихся стандартов кибербезопасности и правил цифровой идентификации, с возможностью преобразования их в практические улучшения рисков и соответствия.

Socure является работодателем с равными возможностями, который ценит разнообразие во всех его формах внутри нашей компании. Мы не дискриминируем по признаку расы, религии, цвета кожи, национального происхождения, пола, сексуальной ориентации, возраста, семейного положения, статуса ветерана или статуса инвалидности. Если вам требуется помощь на любом этапе процесса подачи заявления или найма — включая поддержку на собеседовании или адаптации — пожалуйста, свяжитесь напрямую с вашим партнером по найму Socure.