Основная ответственность заключается в обеспечении того, чтобы компания понимала свои обязательства, своевременно предоставляла точную информацию и оставалась полностью готовой к проверкам регулирующих органов.
Это не основная роль инженера по безопасности. Глобальные команды по информационной безопасности и технологиям внедряют технические средства контроля. Руководитель отдела информационной безопасности должен интерпретировать мексиканские нормативные требования в четкие действия, координировать выполнение этих задач с соответствующими командами, проверять доказательства и нести ответственность за окончательный результат соответствия нормативным требованиям.
Успешный кандидат должен сочетать высокий уровень регуляторной экспертизы с дисциплинированным исполнением. Роль требует человека, который лично проверяет факты, доводит задачи до завершения и не полагается на вмешательство других подразделений в последний момент.
Вас ждут следующие задачи:
Соответствие нормативным требованиям
- Отслеживать требования Мексики в области информационной безопасности, кибербезопасности, технологических рисков, обеспечения непрерывности бизнеса и связанные с ними нормативные требования, применимые к Компании.
- Вести полный реестр нормативных обязательств, сроков отчетности, ответственных лиц, необходимых доказательств, зависимостей и текущего статуса.
- Интерпретировать нормативные требования и переводить их в четкие, выполнимые задачи для отделов информационной безопасности, технологий, внутреннего ИТ, операций, предотвращения мошенничества, обеспечения непрерывности бизнеса и других ответственных команд.
- Оценивать влияние изменений в нормативных требованиях и координировать необходимые обновления средств контроля, процессов, политик, процедур и отчетности.
- Эскалировать нормативные риски, недостающие доказательства и потенциальные задержки до наступления срока выполнения обязательств.
Регуляторная отчетность
- Отвечать за подготовку и координацию отчетов по информационной безопасности, официальных ответов, показателей, пакетов доказательств и запросов информации, направляемых мексиканским регуляторам.
- Координировать отчетность, связанную с CNBV, Banco de México, SPEI и другими применимыми местными надзорными мероприятиями в рамках информационной безопасности.
- Проверять всю представленную информацию на соответствие исходным системам и подтверждающим доказательствам.
- Обеспечивать точное отражение в отчетах выполненной работы, ответственных владельцев, статуса контроля, выявленных проблем, инцидентов и прогресса в их устранении.
- Поддерживать четкий аудиторский след источников данных, проверок, утверждений, представлений и переписки с регуляторами.
- Предотвращать подачу неполной, неподтвержденной, противоречивой или вводящей в заблуждение информации руководству, аудиторам или регуляторам.
Взаимодействие с регуляторами и проверки
- Выступать в качестве основного контактного лица по информационной безопасности в Мексике для регуляторных проверок, официальных запросов информации, интервью и последующих мероприятий.
- Координировать ответы с глобальным CISO, юридическим отделом, отделом комплаенса, отделом рисков, внутренним аудитом, ИТ-отделом и другими соответствующими заинтересованными сторонами.
- Подготавливать представителей Компании к встречам с регуляторами и обеспечивать, чтобы ответы были последовательными, точными и подкрепленными доказательствами.
- Отслеживать все обязательства, взятые перед регуляторами, до их формального выполнения.
- Поддерживать готовность в течение всего года, а не готовиться только после начала проверки или получения запроса.
Аудит и обеспечение соответствия
- Руководить подготовкой информационной безопасности к внутренним аудитам, проверкам регулирующих органов, оценкам SPEI, мероприятиям PCI DSS и другим проверкам соответствия, применимым к Мексике.
- Поддерживать репозиторий доказательств, который является полным, актуальным и легко проверяемым.
- Проверять доказательства перед подачей и оспаривать неподтвержденные утверждения или неполные описания средств контроля.
- Преобразовывать выявленные проблемы в планы устранения с четкими владельцами, действиями, сроками, зависимостями и критериями приемки.
- Отслеживать процесс устранения и эскалировать просроченные или заблокированные действия.
- Обеспечивать, чтобы ответственность за аудит информационной безопасности и регуляторную деятельность оставалась за локальным CISO и не требовала передачи координации другой функции.
Управление информационной безопасностью
- Представлять информационную безопасность перед местным руководством и контрольными функциями.
- Предоставлять четкую отчетность о регуляторных рисках, пробелах в средствах контроля, результатах аудита, инцидентах, мерах по устранению и существенных рисках.
- Координировать локальную реализацию глобальной программы информационной безопасности.
- Обеспечивать отражение местных нормативных требований в документации Компании по информационной безопасности.
- Проверять локальные политики, процедуры, стандарты и ответы регуляторам на местном языке, чтобы убедиться, что они сохраняют исходные требования и смысл контроля.
- Поддерживать регуляторные аспекты инцидентов информационной безопасности, включая оценку обязательств по отчетности, сбор доказательств и координацию формальных уведомлений.
Управление командой и заинтересованными сторонами
- Управлять местным отделом по нормативному соответствию в области информационной безопасности с четкими обязанностями, измеримыми целями и регулярной оценкой эффективности.
- Выстраивать эффективные рабочие отношения с отделами комплаенса, юридическим, внутреннего аудита, рисков, технологий, операций, предотвращения мошенничества, обеспечения непрерывности бизнеса и глобальными командами информационной безопасности.
- Назначать задачи исходя из фактических обязанностей и подтвержденной рабочей нагрузки.
- Оперативно устранять случаи неэффективной работы и документировать управленческие действия.
- Запрашивать дополнительные ресурсы только при наличии четкого обоснования в виде области применения, рабочей нагрузки, разрыва в компетенциях и ожидаемого результата.
Критерии оценки успешности
- Регуляторные отчеты являются полными, точными, утвержденными и подтвержденными исходными системными данными.
- Все регуляторные обязательства и выявленные проблемы имеют документированных владельцев, действия, сроки, статус и доказательства.
- Риски и препятствия эскалируются до того, как они повлияют на выполнение.
- Компания остается готовой к проверкам регулирующих органов и аудиторским проверкам без экстренной подготовки.
- Инженерные и операционные команды получают четкие, выполнимые требования, а не скопированный текст регуляторных актов.
- Мероприятия по устранению проблем прогрессируют без повторного вмешательства глобального CISO.
- Локальные обязанности по информационной безопасности управляются независимо и прозрачно.
Что сделает вас идеальным кандидатом:
- Минимум 5 лет опыта работы в области информационной безопасности, управления кибербезопасностью, технологических рисков, нормативного соответствия или ИТ-аудита.
- Минимум 3 года опыта работы в регулируемом финансовом учреждении в Мексике.
- Прямой опыт работы с требованиями CNBV и регуляторными проверками.
- Практический опыт работы с Banco de México и SPEI в области безопасности, аудита, отчетности или соответствия нормативным требованиям.
- Подтвержденный опыт управления регуляторными представлениями, официальными ответами, сбором доказательств и отслеживанием устранения проблем.
- Опыт преобразования нормативных требований в операционные и технические средства контроля.
- Опыт координации работы старших заинтересованных сторон из отделов информационной безопасности, технологий, юриспруденции, комплаенса, рисков, внутреннего аудита и операций.
- Опыт управления сотрудниками или специализированными командами по нормативному соответствию и безопасности.
- Глубокое понимание управления информационной безопасностью, управления рисками, реагирования на инциденты, управления доступом, обеспечения непрерывности бизнеса, управления рисками сторонних поставщиков, логирования, управления уязвимостями и защиты данных.
- Свободное владение испанским языком и профессиональное владение английским языком.
- Отличные навыки письменного общения на обоих языках.
Предпочтительные квалификации
- Опыт работы с PCI DSS, ISO 27001, отчетностью по инцидентам в соответствии с нормативными требованиями, обеспечением непрерывности бизнеса и аварийным восстановлением.
- Профессиональные сертификаты, такие как CISSP, CISM, CRISC, CISA или ISO 27001 Lead Auditor.
