Sr. GRC Engineer

Старший GRC-инженер

Команда + Роль

Команда информационной безопасности Pendo защищает данные, доверенные Pendo, и помогает обеспечить создание наших продуктов с учетом принципов безопасности и конфиденциальности "by design". Команда охватывает операции безопасности, безопасность продуктов и соответствие требованиям и управление рисками. Благодаря небольшой команде и широкому охвату, работа напрямую поддерживает безопасность, устойчивость и доверие к продуктам и операциям Pendo.

Старший GRC-инженер — это технический лидер "AI-first", который помогает развивать программу управления, рисков и соответствия требованиям Pendo. Эта роль самостоятельно руководит сложной работой по обеспечению соответствия требованиям, управлению рисками и реагированию на инциденты, выявляя пробелы в зрелости программы, переводя риски безопасности на язык бизнеса и внося вклад в принятие решений по дорожной карте безопасности и инвестициям. Успех означает создание устойчивых механизмов контроля и программ, которые снижают риски и операционные трудности, а не просто выполнение аудитов.

Эта роль находится в нашем офисе в Роли.

Как это выглядит изо дня в день

Ускорение соответствия требованиям и операций с помощью ИИ: Используйте ИИ для ускорения подготовки доказательств для аудита, документации политик, рабочих процессов тестирования контроля и нормативно-правовых исследований. Оценивайте возможности автоматизации платформы GRC и интегрируйте инструменты ИИ там, где это снижает ручные накладные расходы, а затем документируйте и делитесь эффективными подходами с командой.

Стратегия и дорожная карта программы безопасности: Определяйте пробелы в зрелости в рамках операций по обеспечению соответствия требованиям и безопасности и преобразуйте их в приоритетные рекомендации по дорожной карте, основанные на бизнес-рисках. Участвуйте в обсуждениях инвестиций в безопасность, разъясняйте компромиссы между охватом, стоимостью и риском, а также предвидьте возникающие нормативные требования до того, как они станут результатами аудита.

Владение программой соответствия требованиям: Полностью отвечайте за одну или несколько программ нормативного соответствия, включая SOC 2 Type II, ISO 27001/42001, PCI-DSS, GovRAMP или FedRAMP. Руководите разработкой контроля, сбором доказательств, отношениями с аудиторами и отслеживанием устранения недостатков для поддержания эффективных и устойчивых программ соответствия требованиям.

Оценка и приоритизация рисков: Проводите организационные оценки рисков и представляйте результаты руководству с четкой приоритизацией и рекомендациями по инвестициям. Переводите технические риски на язык бизнес-рисков, чтобы руководители могли принимать обоснованные решения без необходимости дополнительной интерпретации безопасности.

Руководство по реагированию на инциденты: Руководите реагированием на инциденты, связанные со сложными, многосистемными событиями безопасности, от анализа до разрешения. Проводите анализ первопричин, организуйте разборы после инцидентов и отвечайте за последующие действия, которые преобразуют результаты инцидентов в измеримые улучшения программы.

Межфункциональное партнерство: Работайте напрямую с командами инженеров, продуктов и ИТ для выполнения требований соответствия, проверки внедрений и интеграции безопасности в повседневную деятельность. Переводите обязательства по соответствию требованиям в действенные технические требования и влияйте на то, как партнерские команды подходят к безопасности, а также на то, что они предоставляют.

Кто вы

Помимо квалификации, мы нанимаем, руководствуясь определенными критериями. Это не модные слова; это то, что мы действительно будем искать в том, как вы говорите о своей работе.

Вы строитель, а не обслуживающий персонал.

Вас больше всего вдохновляет, когда нет четкого пути, и вы должны его определить. Вы не ждете указаний; вы выявляете пробелы, формируете решения и продвигаете их вперед. В Pendo отличные Sr. GRC-инженеры не просто следуют инструкциям; они действуют как стратегические советники, влияя на решения, направляя заинтересованные стороны и повышая качество нашей работы.

Вы любопытны к ИИ — искренне.

Вы не используете инструменты ИИ время от времени. Вы перестраиваете свою работу вокруг них. Благодаря этому вы быстрее, точнее и продуктивнее, и вы привносите эту энергию во все — в то, как вы подходите к своей работе, как вы готовитесь, как вы общаетесь, как вы думаете. Нам нужен кто-то, кто видит ИИ как множитель, а не как ярлык.

Обязательные требования

3-5 лет практического опыта в области безопасности с подтвержденным владением программами соответствия требованиям или операционной деятельностью по безопасности, а не просто участие.

Глубокое знание как минимум двух из следующих фреймворков: SOC 2, ISO 27001, PCI-DSS, FedRAMP, GovRAMP или серии NIST 800.

Подтвержденная способность самостоятельно управлять отношениями с аудиторами и циклом аудита от начала до конца, включая прямое реагирование на вопросы аудиторов.

Опыт руководства расследованиями инцидентов от начальной стадии до анализа первопричин и подготовки документации после инцидента, с которой могут работать команды инженеров.

Подтвержденная способность переводить риски безопасности на язык бизнес-рисков, позволяющий руководству принимать решения об инвестициях и приоритизации.

Активное, подтвержденное использование инструментов ИИ для ускорения рабочих процессов безопасности, таких как сбор доказательств, разработка политик, нормативно-правовые исследования или анализ обнаружений.

Сильные навыки письменного и устного общения, способность эффективно адаптировать рекомендации для аудиторий инженеров, аудиторов и руководства.

Желательные навыки

Опыт работы с платформами SIEM или EDR, такими как Splunk, Elastic, CrowdStrike или SentinelOne, включая самостоятельное написание и настройку правил обнаружения.

Опыт администрирования GRC-платформ, таких как Vanta, Drata или Archer, включая настройку автоматизации и интеграцию со сторонними сервисами.

Опыт операционализации анализа угроз или проведения охоты на угрозы с использованием MITRE ATT&CK.

Сертификация по безопасности, такая как CISA, CISSP, CISM, Security+ или эквивалент.

Опыт работы в SaaS-компании с одновременными обязательствами по соответствию нескольким фреймворкам.

О Pendo

Pendo была основана в 2013 году бывшими менеджерами по продуктам, которые объединили свои знания и энтузиазм, чтобы создать то, что они хотели, но никогда не имели как менеджеры по продуктам: простой способ понять и добиться истинного успеха продукта. Наша миссия — улучшить взаимодействие общества с программным обеспечением. Присоединяйтесь к одному из самых быстрорастущих стартапов, поддерживаемых лучшими институтами, такими как Battery Ventures, Salesforce Ventures, Spark Capital и Meritech.

Основные ценности Pendo: Оперативность, Совершенствование мастерства, Команда — это Pendo, и Маниакальная сосредоточенность.

Местоположение: Pendo — это гибридная культура. В офисе 3 дня в неделю, если не обозначено как удаленная работа.

Компенсация: Ожидаемый диапазон базовой заработной платы для этой должности в Роли, Северная Каролина, составляет $133 400 - $160 000.

Льготы: Высококонкурентное покрытие, в основном за счет работодателя, включая варианты с нулевой премией, щедрое соответствие 401(k), акции и гибкое время отпуска.

EEOC: Мы являемся работодателем с равными возможностями и считаем, что разнообразные команды, где каждый полностью проявляет себя в Pendo, являются ключом к нашему успеху. Мы приветствуем всех людей с различным происхождением, опытом, способностями и взглядами.

Доступность: Pendo стремится работать с кандидатами с психическими и/или физическими нарушениями, предоставляя им доступ и разумные условия. Если вы считаете, что вам могут потребоваться условия для любой части процесса найма, отправьте запрос по адресу: контакт рекрутера. Все запросы на условия рассматриваются конфиденциально и в соответствии с законом.