GRC and Security Compliance Lead

Title: GRC and Security Compliance Lead Location: USA - Remote / Remote

Compensation: $165K - $223.3K per year

О КОМПАНИИ

Deepgram — ведущая платформа, лежащая в основе развивающейся экономики голосового ИИ стоимостью в триллион долларов, предоставляющая API в реальном времени для преобразования речи в текст (STT), текста в речь (TTS) и масштабируемого создания производственных голосовых агентов. Более 200 000 разработчиков и 1300+ организаций создают голосовые решения, работающие на платформе Deepgram (Powered by Deepgram), включая Twilio, Cloudflare, Sierra, Decagon, Vapi, Daily, Cresta, Granola и Jack in the Box. Базовые модели Deepgram для работы с голосом доступны через облачные API или в виде программного обеспечения для самостоятельного хостинга и установки на локальных серверах, обеспечивая непревзойденную точность, низкую задержку и экономичность. При поддержке недавнего раунда финансирования серии C, возглавляемого ведущими мировыми инвесторами и стратегическими партнерами, Deepgram обработала более 50 000 лет аудио и транскрибировала более 1 триллиона слов. Ни одна другая организация в мире не понимает голос лучше, чем Deepgram.

РАБОЧИЙ ПРОЦЕСС КОМПАНИИ

В Deepgram мы ожидаем наличия мышления, ориентированного на ИИ — использование ИИ и комфорт в работе с ним не являются необязательными, это основа того, как мы работаем, внедряем инновации и оцениваем производительность.

От каждого члена команды Deepgram ожидается активное использование и экспериментирование с продвинутыми инструментами ИИ, а также их интеграция в повседневную работу. Мы оцениваем, насколько эффективно применяется ИИ для достижения результатов, и последовательное, творческое использование новейших возможностей ИИ является ключом к успеху здесь. Кандидаты должны быть готовы быстро осваивать новые модели и методы, интегрировать ИИ в свои рабочие процессы и постоянно расширять границы возможностей этих технологий.

Кроме того, мы движемся в темпе развития ИИ. Изменения происходят стремительно, и вы можете ожидать, что ваша повседневная работа будет так же быстро меняться. Эта роль может не подойти вам, если вы не увлечены экспериментами, адаптацией, находчивостью и постоянным обучением, или если вы ищете что-то строго регламентированное с традиционным рабочим графиком с 9 до 5.

ВОЗМОЖНОСТИ

Deepgram ищет руководителя по GRC и соответствию требованиям безопасности (GRC and Security Compliance Lead), который возьмет на себя ответственность за документальную и доказательную основу нашей программы безопасности и конфиденциальности — документы и доказательства, на которые полагаются аудиторы, корпоративные клиенты и наши собственные инженеры, чтобы знать, что мы действительно делаем.

Мы несем ответственность по стандартам SOC 2, ISO 27001 и PCI DSS, отвечаем на постоянный поток корпоративных опросников по безопасности и публикуем публичные обязательства о том, как мы обрабатываем данные и как строятся наши модели. Сегодня эта работа распределена между слишком малым количеством людей. Вы будете нести за нее ответственность: за доказательства, политики, документы о публичной позиции и систему, которая обеспечивает их согласованность друг с другом.

Контекст здесь имеет значение, поскольку утверждения, которые вы будете писать, необычайно специфичны. Большая часть нашей инфраструктуры — это физическое оборудование в колокационных дата-центрах — контейнеризованное в Docker, управляемое с помощью Ansible и развертываемое через GitHub Actions, с использованием AWS для резервных мощностей и небольшого набора сервисов. Это означает, что наша среда контроля охватывает физические и колокационные элементы управления, локальные серверы и облачную инфраструктуру, а не модель разделения ответственности одного облачного провайдера. Deepgram также обрабатывает аудио — часто одни из самых конфиденциальных данных, которыми располагают наши клиенты — в нескольких моделях развертывания: хостинг с включенной оптимизацией моделей, хостинг с отключенной оптимизацией моделей (практически нулевое хранение данных), выделенные развертывания Deepgram в одном клиенте с региональным хранением данных и полностью самостоятельные развертывания, работающие в собственной среде клиента. Чтобы правильно сформулировать публичное заявление, необходимо понимать, к какой из этих моделей относится данное утверждение.

Письмо — это основной навык в этой роли, и мы имеем в виду письмо, которое выдерживает проверку скептически настроенного читателя — аудитора, специалиста по безопасности Fortune 500 или инженера, который знает систему лучше вас. Там, где утверждение требует технической верификации, вы определяете, что должно быть доказано, и сотрудничаете с командой Security Engineering для его доказательства; от вас не ожидается выполнения этой инженерной работы.

Эта роль подчиняется директору по информационной безопасности и тесно взаимодействует с командами Security Engineering, Legal, Research и Solutions/Sales Engineering.

ОБЯЗАННОСТИ

• Полное управление доказательствами для аудитов SOC 2, ISO 27001 и PCI DSS — определение требуемых доказательств, определение лиц, ответственных за их предоставление, место хранения и оценка их соответствия требованиям ревизора. Вы будете основным контактным лицом для аудитора во время полевых работ.
• Управление сопоставлением элементов управления между различными стандартами. Создание и поддержка матрицы соответствия, чтобы один элемент управления и одно доказательство удовлетворяли требованиям SOC 2, ISO 27001, PCI DSS и опросников клиентов — вместо того, чтобы выполнять одну и ту же работу три раза.
• Управление стороной соответствия, связанной с колокационными и инфраструктурными поставщиками: отчеты SOC и аттестации поставщиков дата-центров, физическая безопасность и исключения, а также разделение ответственности между нами и каждым поставщиком.
• Управление опросниками по безопасности и разделами безопасности в RFP. Поддержание библиотеки ответов, ее актуализация по мере изменения продукта, а также понимание, какие ответы стоит отстаивать, а какие — уступать.
• Создание и управление жизненным циклом наших внутренних политик и стандартов: разработка, циклы рассмотрения и утверждения, ежегодный пересмотр, исключения и отклонения, а также отказ от устаревших документов, которые больше не отражают реальность.
• Управление нашими общедоступными документами о состоянии безопасности — контентом Центра доверия (Trust Center), заявлением о безопасности ИИ (AI Safety statement), профилями моделей (Model Cards) (совместно с Research), Политикой конфиденциальности (Privacy Policy) (совместно с Legal) и документацией по моделям развертывания и самостоятельного хостинга, на которую полагаются клиенты во время проверки.
• Управление самой системой документации: где хранятся документы, как они версионируются и рецензируются, и как общедоступное утверждение прослеживается до внутреннего источника истины. Ничто из того, что мы заявляем публично, не должно быть неотслеживаемым.
• Поддержание точных карт потоков данных и записей обработки данных в рамках хостинговых, выделенных и самостоятельных развертываний — и управление процессом их актуализации по мере изменения продукта.
• Проведение обучения по соответствию требованиям и осведомленности в области безопасности, включая четкие указания для отдела продаж и инженеров по продажам (Sales Engineering) о том, что они могут, а что не могут обещать во время звонка с клиентом.
• Сотрудничество с командой Security Engineering для обеспечения однократного создания доказательств с помощью автоматизации — из Ansible, GitHub и нашего стека логирования и мониторинга — и их повторного использования, а также сигнализирование о случаях, когда ручное получение доказательств должно стать автоматизированным.
• Поддержка программы конфиденциальности: участие в оценках воздействия на конфиденциальность (DPIA) и оценках воздействия при передаче данных (transfer impact assessments), обзоры субподрядчиков и поставщиков с точки зрения конфиденциальности, а также обработка запросов субъектов данных (DSAR) в партнерстве с руководителем отдела операций по конфиденциальности (Privacy Operations Lead).

НЕОБХОДИМЫЕ НАВЫКИ

• Сертификация, такая как CISA, ISO 27001 Lead Implementer/Auditor, CIPM, CIPT или CIPP/E.
• Существенный опыт в GRC, обеспечении соответствия требованиям безопасности или документировании технических требований — достаточный, чтобы вы самостоятельно прошли весь цикл аудита с точки зрения доказательной базы и несли ответственность за результат.
• Исключительные навыки письма. Это основное требование, а не «мягкий» навык. Вы умеете превратить запутанную техническую реальность в документ, который примет скептически настроенный аудитор, клиент или инженер.
• Практический опыт участия как минимум в одном формальном аудите — SOC 2, ISO 27001 или PCI DSS — в качестве лица, подготавливающего и защищающего доказательства, а не только читающего отчет.
• Опыт сопоставления элементов управления между несколькими стандартами и сформировавшееся мнение о том, как избежать дублирования работы по обеспечению соответствия.
• Техническая грамотность и уверенность: вы можете прочитать схему архитектуры, проследить поток данных через дата-центр и облачную инфраструктуру, понять, что на самом деле означает строка журнала или настройка хранения данных, и задать вопрос, который выявит пробел — без необходимости чьего-либо перевода.
• Суждение, соответствующее стартапу. Вы знаете, какие ответы в опроснике стоит отстаивать, а какие уступать, и когда политика требует исключения, а не предписания. Элементы управления и политики, игнорирующие реальный процесс разработки, обходятся, и мы предпочитаем, чтобы вы называли компромисс, а не писали идеальную версию.
• Рабочее знание GDPR, CCPA/CPRA и направлений развития регулирования ИИ — достаточное для написания общедоступных документов о состоянии безопасности, которые выдержат проверку.
• Ориентация на создание систем и шаблонов, а не на то, чтобы стать человеком, через которого должен проходить каждый запрос.
• Комфорт в условиях неопределенности и способность принимать обоснованные решения, когда стандарт еще не устоялся.

ЖЕЛАТЕЛЬНО

• Опыт аудита в локальной, колокационной или гибридной среде — не только в облачной.
• Опыт работы с платформами автоматизации соответствия (Vanta, Drata или аналогичными) и инструментами центра доверия (trust center tooling), включая их недостатки вне чисто облачной среды.
• Знакомство с системами управления ИИ (AI governance frameworks) — NIST AI RMF, ISO/IEC 42001, EU AI Act — и практиками документирования моделей.
• Опыт работы с конвейерами данных ML/AI и управлением данными для обучения.
• Работа по обеспечению соответствия в гибридной модели — многопользовательский SaaS наряду с самостоятельными или локальными развертываниями.
• Уверенность в работе с SQL, базовым скриптингом или инструментами ИИ и агентов для получения и сборки собственных доказательств, а не для подачи заявки на это.
• Опыт работы с HIPAA или FedRAMP.

Обратите внимание: мы осведомлены о случаях выдачи себя за рекрутеров Deepgram. Вся легитимная коммуникация Deepgram по вопросам найма осуществляется с адреса электронной почты @deepgram.com. Если вы получили сообщение, якобы от Deepgram, пожалуйста, перешлите его на контакт рекрутера.