Senior Director, Information Security

Должность: Старший директор по информационной безопасности Местоположение: Удаленно

Вознаграждение: 200 000–240 000 долларов США в год

Название должности: Старший директор по информационной безопасности

О Prompt

Prompt революционизирует здравоохранение, предоставляя высокоавтоматизированное и современное программное обеспечение для реабилитационных центров, их команд и пациентов. Являясь одной из самых быстрорастущих компаний в сфере SaaS для здравоохранения и новым стандартом в медицинских технологиях, мы стремимся создать команду, которая преуспевает в нашей быстро меняющейся, инновационной среде.

По мере того, как Prompt продолжает масштабироваться, поддержание доверия наших клиентов, партнеров и пациентов имеет решающее значение. Мы ищем Старшего директора по информационной безопасности, который будет выполнять функции нашего сотрудника по безопасности HIPAA и руководить развитием нашей программы информационной безопасности по мере нашего роста.

О роли

Старший директор по информационной безопасности является назначенным сотрудником по безопасности HIPAA компании и отвечает за руководство развитием программы информационной безопасности компании.

Эта роль охватывает управление, среду контроля, программы сертификации и аудита, управление рисками безопасности, структуру политик и междисциплинарную операционную модель, необходимые для обеспечения соответствия HIPAA/HITECH, SOC 2 и другим применимым нормативным, договорным требованиям и требованиям сертификации.

Старший директор будет тесно сотрудничать с техническими и бизнес-лидерами для преобразования требований и рисков безопасности в эффективные меры контроля, четкое распределение ответственности и устойчивые процессы. Это руководящая должность, для тех, кто хочет создать и развить программу, используя сильные технические ресурсы организации.

Обязанности

• Выполнять функции назначенного сотрудника по безопасности HIPAA компании, руководя программой информационной безопасности компании и сотрудничая с юридическим отделом, отделом конфиденциальности, отделом соответствия требованиям, инженерами, IT-отделом и другими заинтересованными сторонами по соответствующим требованиям.

• Обладать достаточной технической глубиной для самостоятельной оценки облачных архитектур, архитектур приложений, конвейеров CI/CD, инфраструктуры как кода (IaC), моделей идентификации и доступа, средств контроля цепочки поставок программного обеспечения и подходов к мониторингу безопасности, в то время как технические команды сохраняют ответственность за детальную реализацию и эксплуатацию.

• Обеспечивать соответствие правилам безопасности HIPAA, включая анализ рисков безопасности, план управления рисками безопасности и постоянный надзор за требуемыми мерами защиты.

• Руководить программой SOC 2 Type II компании и другими программами безопасности, аттестации и подтверждения соответствия, включая управление контролем, готовность к аудиту, достаточность доказательств, отношения с аудиторами, выявленные недостатки, исправление и успешное завершение аудитов и оценок.

• Руководить разработкой политик и структуры контроля информационной безопасности компании, включая разработку политик, пересмотр, исключения, текущее управление и согласование с применимыми нормативными, договорными и бизнес-требованиями.

• Установить четкое распределение ответственности за меры контроля безопасности в организации и обеспечить выявление, приоритизацию, отслеживание, проверку и соответствующую эскалацию недостатков, уязвимостей, рисков и планов их устранения.

• Сотрудничать с инженерами, DevOps, архитекторами и IT-лидерами для оценки подходов к обеспечению безопасности и обеспечения того, чтобы технические средства контроля соответствовали выявленным требованиям, в то время как технические команды сохраняют ответственность за детальное проектирование и реализацию.

• Создать и курировать программы управления уязвимостями и безопасности приложений компании, включая ожидания в отношении выявления уязвимостей, тестирования на проникновение, безопасной разработки программного обеспечения, тестирования безопасности, исправления, исключений и эскалации.

• Руководить фреймворком реагирования на инциденты безопасности и координировать реагирование компании на инциденты безопасности, сотрудничая с техническими командами по расследованию и устранению последствий, а также с юридическим отделом, отделом конфиденциальности, отделом соответствия требованиям и руководством на уровне исполнительных директоров по более широкой оценке инцидентов и реагированию на них.

• Возглавлять аспекты управления рисками сторонних поставщиков, проверки корпоративных клиентов, аудиты, RFP/RFI и эскалацию вопросов безопасности.

• Сотрудничать с отделами продукта, ИИ, инженерии, юриспруденции и другими заинтересованными сторонами для установления надлежащего управления развивающимися технологиями и использованием конфиденциальных данных.

• Создать и контролировать требования к безопасному SDLC и цепочке поставок программного обеспечения, включая защиту контроля исходного кода, безопасность CI/CD, безопасность зависимостей и контейнеров, безопасность инфраструктуры как кода, управление секретами, тестирование безопасности, целостность артефактов, управление релизами, исправление уязвимостей и управление рисками безопасности.

• Поддерживать соответствующую видимость эффективности средств контроля безопасности компании и сотрудничать с ответственными техническими владельцами для оценки таких областей, как управление доступом, защита данных, безопасность облачных сред и приложений, ведение журналов, мониторинг и обеспечение непрерывности бизнеса.

• Контролировать эффективность средств контроля безопасности компании и предоставлять руководству на уровне исполнительных директоров соответствующую информацию о существенных рисках, прогрессе в устранении недостатков и возникающих проблемах безопасности.

• Постоянно совершенствовать операционную модель информационной безопасности компании, чтобы требования были ясными, ответственность — прочной, а средства контроля — эффективно работали на практике.

Квалификация

• 8+ лет опыта в области информационной безопасности, управления рисками, соответствия требованиям или смежных областях, включая значительный руководящий опыт.

• Глубокие практические знания HIPAA/HITECH и требований к безопасности и соответствию в сфере здравоохранения, желательно в организации, являющейся покрываемым лицом, или в организации, выступающей в качестве бизнес-партнера.

• Хорошее знание облачной безопасности, безопасности приложений, IAM, управления уязвимостями, безопасности конечных точек, безопасных практик SDLC и современной SaaS-архитектуры.

• Подтвержденный опыт руководства программами сертификации и подтверждения соответствия SOC 2 Type II или аналогичными.

• Опыт создания или существенного улучшения управления информационной безопасностью, среды контроля, структур политик, готовности к аудиту и междисциплинарной подотчетности.

• Хорошее знание безопасности ИИ, управления и управления рисками, включая риски, связанные с конфиденциальными данными и развивающимися технологиями ИИ.

• Способность авторитетно взаимодействовать с техническими лидерами, оценивать предлагаемые подходы, выявлять существенные риски и преобразовывать технические проблемы в бизнес-риски, риски соответствия требованиям и риски для клиентов.

• Сильные навыки принятия управленческих решений и коммуникации, с возможностью эффективно взаимодействовать с юридическим отделом, инженерами, отделом продукта, IT, AI, отделом кадров, финансовым отделом, аудиторами, клиентами и высшим руководством.

• Подтвержденная способность обеспечивать подотчетность в различных подразделениях, не полагаясь исключительно на прямые подчиненные отношения.

• Наличие соответствующих сертификатов, таких как CISSP, CISM, CRISC, CISA, CHC или аналогичных, предпочтительно, но не обязательно при наличии эквивалентного опыта.

Почему стоит работать в Prompt?

• Большие вызовы: В Prompt мы решаем сложные и уникальные проблемы, которые преследуют сферу здравоохранения с незапамятных времен.

• Талантливые люди: Prompt — это не случайность, это команда невероятно талантливых и проверенных специалистов, которые оставили свой след, прежде чем объединить усилия для создания лучшего программного обеспечения на планете для специалистов по реабилитации.

• Здоровый подход: Это не инвестиционный банк. В Prompt вы управляете своей рабочей нагрузкой, и вся организация ценит «умную работу» (а не «тяжелую работу»).

• Позитивное влияние: Prompt помогает амбулаторным реабилитационным организациям лечить больше пациентов и предоставлять лучшую помощь с меньшими отходами для окружающей среды. Это означает меньше операций и меньше наркозависимого лечения боли, в то время как мы переводим бумажную отрасль в цифровой формат.

Перки – Что вас ждет

• Конкурентоспособная заработная плата

• Удаленная/гибридная среда

• Потенциальная компенсация акциями за выдающиеся результаты

• Гибкий график отпусков (PTO)

• Оплачиваемые компанией обеды для всех сотрудников

• Страхование от нетрудоспособности и жизни, оплачиваемое компанией

• Оплачиваемый компанией отпуск по уходу за семьей и медицинскому уходу

• Медицинская, стоматологическая и офтальмологическая страховка

• Скидка на страхование домашних животных

• Льготы FSA/DCA и проездные льготы

• 401k

• Кредиты на онлайн-фитнес-классы/членство в спортзале

• Восстановительный люкс в штаб-квартире — включает ледяной душ, сауну и душевую

В Prompt мы стремимся создавать справедливую и уважительную рабочую среду. В рамках этого обязательства мы не нанимаем сотрудников компаний-клиентов Prompt, если они не получили явного согласия своего текущего работодателя. Мы верим в поддержание прочных профессиональных отношений и соблюдение соглашений и обязательств, которые наши клиенты имеют со своими сотрудниками. Мы ценим ваше понимание и сотрудничество в отношении этой политики. Если у вас есть вопросы или опасения, пожалуйста, не стесняйтесь обращаться в наш отдел кадров.

Prompt Therapy Solutions, Inc. является работодателем, предоставляющим равные возможности, дискриминации по признаку расы, цвета кожи, религии, этнической принадлежности, происхождения, национальности, пола, гендера, гендерной идентичности, сексуальной ориентации, возраста, семейного положения, статуса ветерана, инвалидности, состояния здоровья или любой другой защищенной характеристики не допускается. Мы ценим разнообразие и стремимся создать инклюзивную среду для всех сотрудников.

Prompt Therapy Solutions, Inc. является работодателем, использующим E-Verify.