Основная обязанность — обеспечить понимание компанией своих обязательств, своевременное предоставление точной информации и постоянную готовность к проверкам регулирующих органов.
Это не основная роль инженера по безопасности. Команды Global Information Security и Technology внедряют технические средства контроля. Руководитель отдела информационной безопасности должен интерпретировать мексиканские нормативные требования в четкие действия, координировать выполнение этих задач между командами, проверять доказательства и нести ответственность за конечный нормативный результат.
Успешный кандидат должен сочетать опыт работы с регулирующими органами и дисциплинированное исполнение. Эта роль требует человека, который лично проверяет факты, доводит задачи до завершения и не полагается на вмешательство других отделов в последнюю минуту.
Предстоящие задачи:
Соблюдение нормативных требований
- Мониторинг требований Мексики в области информационной безопасности, кибербезопасности, технологических рисков, непрерывности бизнеса и связанных с ними нормативных требований, применимых к Компании.
- Ведение полного реестра нормативных обязательств, сроков отчетности, ответственных лиц, необходимых доказательств, зависимостей и текущего статуса.
- Интерпретация нормативных требований и их перевод в четкие, выполнимые задачи для отделов информационной безопасности, технологий, внутренней ИТ-службы, операционной деятельности, предотвращения мошенничества, обеспечения непрерывности бизнеса и других ответственных команд.
- Оценка влияния изменений в законодательстве и координация необходимых обновлений средств контроля, процессов, политик, процедур и отчетности.
- Эскалация нормативных рисков, отсутствия доказательств и возможных задержек до наступления срока исполнения обязательств.
Регуляторная отчетность
- Ответственность за подготовку и координацию отчетов по информационной безопасности, официальных ответов, показателей, пакетов доказательств и запросов информации, направляемых мексиканским регуляторам.
- Координация отчетности, связанной с CNBV, Banco de México, SPEI и другими применимыми местными надзорными мероприятиями в рамках компетенции информационной безопасности.
- Проверка всей предоставленной информации по исходным системам и подтверждающим доказательствам.
- Обеспечение точного отражения в отчетах выполненной работы, ответственных лиц, статуса контроля, выводов, инцидентов и прогресса в устранении недостатков.
- Ведение четкого аудиторского следа источников данных, проверок, утверждений, представлений и переписки с регулятором.
- Предотвращение предоставления неполной, неподтвержденной, противоречивой или вводящей в заблуждение информации руководству, аудиторам или регуляторам.
Взаимодействие с регулирующими органами и проверки
- Выступление в качестве основного контактного лица по информационной безопасности в Мексике для проверок регулирующих органов, официальных запросов информации, интервью и последующих мероприятий.
- Координация ответов с Global CISO, юридическим отделом, отделом комплаенса, отделом управления рисками, внутренним аудитом, технологическим отделом и другими соответствующими заинтересованными сторонами.
- Подготовка представителей Компании к встречам с регуляторами и обеспечение того, чтобы ответы были последовательными, точными и подкрепленными доказательствами.
- Отслеживание всех обязательств, взятых на себя перед регуляторами, до их официального выполнения.
- Поддержание готовности в течение всего года, а не только после начала проверки или получения запроса.
Аудит и подтверждение соответствия
- Руководство подготовкой информационной безопасности к внутренним аудитам, проверкам регулирующих органов, оценкам SPEI, мероприятиям PCI DSS и другим проверкам соответствия, применимым к Мексике.
- Поддержание репозитория доказательств, который является полным, актуальным и легко проверяемым.
- Проверка доказательств перед подачей и оспаривание неподтвержденных заявлений или неполных описаний контроля.
- Преобразование выводов в планы устранения недостатков с четкими владельцами, действиями, сроками, зависимостями и критериями приемки.
- Мониторинг устранения недостатков и эскалация просроченных или заблокированных действий.
- Обеспечение того, чтобы деятельность по аудиту информационной безопасности и нормативным требованиям оставалась под ответственностью Local CISO и не требовала участия другой функции для координации.
Управление информационной безопасностью (Governance)
- Представление информационной безопасности перед местным руководством и контролирующими функциями.
- Предоставление четкой отчетности о нормативных рисках, пробелах в контроле, выводах аудита, инцидентах, устранении недостатков и существенных рисках.
- Координация местного внедрения глобальной Программы информационной безопасности.
- Обеспечение отражения местных нормативных требований в документации Компании по информационной безопасности.
- Проверка документов, политик, процедур, стандартов и ответов регулятора на местном языке, чтобы гарантировать сохранение первоначальных требований и смысла контроля.
- Поддержка нормативных аспектов инцидентов информационной безопасности, включая оценку обязательств по отчетности, сбор доказательств и координацию официальных уведомлений.
Управление командой и заинтересованными сторонами
- Управление местной функцией нормативного регулирования информационной безопасности с четкими обязанностями, измеримыми целями и регулярными обзорами производительности.
- Построение эффективных рабочих отношений с отделами комплаенса, юридическим отделом, внутренним аудитом, отделом управления рисками, технологическим отделом, операционным отделом, отделом предотвращения мошенничества, отделом обеспечения непрерывности бизнеса и глобальными отделами информационной безопасности.
- Распределение работы на основе фактических обязанностей и продемонстрированной рабочей нагрузки.
- Оперативное устранение случаев неэффективной работы и документирование управленческих действий.
- Запрос дополнительных ресурсов только при наличии четкого объема работ, рабочей нагрузки, пробела в возможностях и ожидаемого результата.
Как будет измеряться успех:
- Регуляторные отчеты полны, точны, утверждены и подкреплены доказательствами из исходных систем.
- Все нормативные обязательства и выводы имеют документированных владельцев, действия, сроки, статус и доказательства.
- Риски и блокирующие факторы эскалируются до того, как они повлияют на выполнение.
- Компания готова к проверкам регулирующих органов и аудиторским проверкам без экстренной подготовки.
- Инженерные и операционные команды получают четкие, выполнимые требования, а не скопированный текст нормативных актов.
- Мероприятия по устранению недостатков прогрессируют без повторного вмешательства Global CISO.
- Местная функция информационной безопасности управляется независимо и прозрачно.
Что сделает вас идеальным кандидатом:
- Минимум 5 лет опыта работы в области информационной безопасности, управления кибербезопасностью, технологических рисков, соблюдения нормативных требований или ИТ-аудита.
- Минимум 3 года опыта работы в регулируемом финансовом учреждении в Мексике.
- Прямой опыт работы с требованиями CNBV и проверками регулирующих органов.
- Практический опыт работы с Banco de México и SPEI, связанными с безопасностью, аудитом, отчетностью или соблюдением нормативных требований.
- Доказанный опыт управления нормативными представлениями, официальными ответами, сбором доказательств и отслеживанием устранения недостатков.
- Опыт преобразования нормативных требований в операционные и технические средства контроля.
- Опыт координации работы с старшими заинтересованными сторонами из отделов информационной безопасности, технологий, юридического отдела, комплаенса, управления рисками, внутреннего аудита и операционного отдела.
- Опыт управления сотрудниками или специализированными командами по нормативному регулированию и безопасности.
- Глубокое понимание управления информационной безопасностью, управления рисками, реагирования на инциденты, управления доступом, обеспечения непрерывности бизнеса, управления рисками третьих сторон, ведения журналов, управления уязвимостями и защиты данных.
- Свободное владение испанским языком и профессиональное владение английским языком.
- Отличные навыки письменного общения на обоих языках.
Предпочтительные квалификации
- Опыт работы с PCI DSS, ISO 27001, отчетностью об инцидентах в соответствии с нормативными требованиями, обеспечением непрерывности бизнеса и аварийным восстановлением.
- Профессиональные сертификаты, такие как CISSP, CISM, CRISC, CISA или ISO 27001 Lead Auditor.
