Chief Information Security Officer (CISO)

Title: Chief Information Security Officer (CISO) Location: Munich / Berlin

About Us

Hawk — ведущий поставщик технологий для борьбы с отмыванием денег и обнаружением мошенничества с использованием ИИ. Банки и поставщики платежей по всему миру используют мощное сочетание традиционных правил и объяснимого ИИ от Hawk для повышения эффективности соблюдения нормативных требований AML и предотвращения мошенничества, выявляя больше преступлений и максимизируя эффективность за счет сокращения ложных срабатываний. С нашим решением мы играем жизненно важную роль в глобальной борьбе с отмыванием денег, мошенничеством или финансированием терроризма. Мы предлагаем культуру взаимного доверия, поддержки и страсти, предоставляя людям возможности для профессионального роста и внесения вклада в мир.

Hawk разрабатывает системы обнаружения финансовых преступлений на базе ИИ (AML, мониторинг транзакций и предотвращение мошенничества) для глобальных банков уровня 1, платежных процессоров и быстрорастущих финтех-компаний. Поскольку наша платформа анализирует потоки платежей в режиме реального времени и конфиденциальные финансовые данные, безопасность — это не функция административной поддержки, а наше основное обещание по продукту.

Мы ищем технически подкованного, практичного CISO, который будет полностью отвечать за нашу глобальную безопасность. Это истинная руководящая роль «игрока-тренера». Вы будете руководить преданной командой из четырех специализированных экспертов, оставаясь при этом достаточно близкими к технологиям, чтобы анализировать облачную архитектуру, устранять уязвимости высокой степени серьезности, лично управлять критическими инцидентными реагированиями и на равных обсуждать технические меры безопасности с CISO банков-клиентов.

ПОЧЕМУ ЭТА РОЛЬ ВАЖНА

• Глобальный регуляторный контроль в масштабе: Мы работаем в ключевых финансовых центрах, включая Германию, Великобританию, США, Сингапур и растущий список международных рынков. С учетом того, что DORA имеет обязательную силу во всем ЕС, а правила по ИКТ-рискам во всем мире ужесточаются, наши банковские клиенты ожидают документированной операционной устойчивости, непрерывного тестирования и проверенных мер контроля во всех юрисдикциях.
• Современные поверхности атак и угрозы цепочки поставок: Наши мульти-арендные и одно-арендные облачные среды (AWS/GCP) обрабатывают огромный объем транзакций. Наряду с защитой от возникающих уязвимостей в цепочке поставок — от зависимостей с открытым исходным кодом до сторонних конвейеров сборки — вам потребуется глубоко понимать наш подход к ИИ и активно помогать укреплять наши инструменты, оболочки и конвейеры.
• Скорость заключение корпоративных сделок: Корпоративные проверки безопасности могут либо замедлить сделки, либо закрыть их. Вы будете сотрудничать с нашими коммерческими командами, чтобы превратить вопросники по безопасности, снижение рисков и аудиты архитектуры в доверие со стороны корпораций и заключенные контракты.

ОРГАНИЗАЦИОННАЯ СТРУКТУРА: ЧЕТЫРЕ НАПРАВЛЕНИЯ

Вы будете руководить, наставлять и определять техническое направление для четырех специализированных функциональных областей:

1. Безопасность приложений: Безопасный SDLC, автоматизированные шлюзы безопасности CI/CD (SAST/DAST/SCA), защита цепочки поставок программного обеспечения, стандарты безопасного кодирования, оболочки ИИ и укрепление конвейеров.
2. Корпоративная безопасность: Архитектура Zero Trust, IAM/SSO, распределенная защита конечных точек (EDR/XDR), поиск угроз, доступ к инфраструктуре.
3. Соответствие требованиям и управление: Внедрение DORA, ISO 27001, SOC 2 Type II, управление рисками сторонних поставщиков (TPRM), аудиты регулирующих органов в нескольких юрисдикциях, владение реестром рисков.
4. Защита данных: Полностью посвящена защите данных: соблюдение GDPR, управление конфиденциальностью, права субъектов данных и законодательные требования по защите конфиденциальности.

ОСНОВНЫЕ ОБЯЗАННОСТИ

1. Практическое техническое руководство, интеграция инжиниринга и укрепление ИИ

• Стандарты безопасного кодирования и SDLC: Установление и обеспечение соблюдения базовых стандартов безопасного кодирования непосредственно в рабочих процессах разработки. Обеспечение интеграции автоматизированного сканирования уязвимостей, отслеживания SBOM и шлюзов безопасности в конвейеры CI/CD GitHub/GitLab.
• Защита цепочки поставок программного обеспечения: Защита систем сборки, зависимостей и конвейеров развертывания от взлома цепочки поставок, скомпрометированных пакетов и уязвимостей вышестоящих компонентов.
• Укрепление инструментов и конвейеров ИИ: Глубокое понимание нашего подхода к ИИ и тесное сотрудничество с инженерным отделом для укрепления наших систем. Личная оценка и внедрение защитных механизмов, включая безопасные оболочки ИИ, песочницы для контейнеров и механизмы защиты в реальном времени для инструментов и рабочих процессов ИИ.
• Управление жизненным циклом уязвимостей: Установление строгих SLA по устранению CVE и неправильных конфигураций облака. Личное арбитражирование степени серьезности уязвимостей, триаж уязвимостей нулевого дня и сотрудничество с руководителями инженерных отделов для обеспечения быстрого устранения без замедления скорости выпуска.
• Zero Trust и облачная инфраструктура: Разработка и продвижение нашей общегрупповой дорожной карты Zero Trust в средах AWS и GCP, обеспечение соблюдения политик IAM с наименьшими привилегиями, сетевой микросегментации и безопасного доступа разработчиков.

2. Корпоративное доверие и взаимодействие с клиентами

• Диалог с клиентами на равных: Выступать в качестве старшего технического авторитета в корпоративных циклах продаж, напрямую взаимодействуя с CISO банков, группами InfoSec и руководителями по закупкам для проверки архитектуры Hawk, моделей угроз и операционных мер контроля.
• Ускорение заключения корпоративных сделок: Модернизация проверки поставщиков путем замены реактивных анкет по безопасности на стандартизированные пакеты доказательств, порталы непрерывного соответствия требованиям и предварительно упакованные аудиты архитектуры, которые быстро завоевывают доверие клиентов.
• Превращение безопасности в движущую силу ценности: Превращение нашей надежной базы безопасности в ключевое конкурентное преимущество для продаж, помогая коммерческим командам демонстрировать банкам-потенциальным клиентам, почему наша позиция в области обороны делает нас поставщиком с самым низким риском.

3. Руководство по реестру рисков, соответствию требованиям и управлению

• Ответственность за общекорпоративный реестр рисков: Выступать в качестве исполнительного владельца общекорпоративного реестра рисков. Выходить за рамки каталогизации рисков: динамически приоритизировать риски, добиваться межфункционального согласия руководства для финансирования и выполнения мер по снижению рисков, а также трансформировать управление рисками в конкретное средство для развития бизнеса и защиты доходов.
• Управление рисками сторонних поставщиков (TPRM): Контролировать категоризацию рисков поставщиков, проверку цепочки поставок и непрерывный мониторинг для сторонних поставщиков и субпроцессоров облачных услуг, осуществляемый непосредственно через функцию соответствия требованиям.
• Руководство по аудиту и регулированию: Поддерживать существующие программы ISO 27001 и SOC 2 Type II без каких-либо серьезных несоответствий в расширяющемся международном периметре.
• Внедрение DORA: Обеспечение сквозного соответствия европейскому закону о цифровой операционной устойчивости (DORA), в частности, управлению ИКТ-рисками, надзору за сторонними поставщиками, тестированию операционной устойчивости и отчетности об ИКТ-инцидентах.
• Согласование с несколькими юрисдикциями: Проактивная адаптация политик для соответствия глобальным финансовым стандартам в ЕС, Великобритании, США, Сингапуре и на рынках предстоящего расширения.
• Отчетность для руководства и совета директоров: Преобразование технических киберрисков в четкие бизнес-метрики (KRI, тепловые карты рисков, показатели снижения рисков) для CEO и совета директоров.

4. Реагирование на инциденты на переднем крае и операционная устойчивость

• Практическое управление инцидентами: Выступать в качестве практического руководителя при инцидентах безопасности уровня Sev-1/Sev-2. Непосредственно с вашей командой руководить техническими расследованиями, анализом первопричин, криминалистикой журналов и техническими брифингами.
• Уведомление о взломе и внешняя эскалация: Направление коммуникаций с регуляторами, правоохранительными органами и клиентами в установленные законодательные сроки в соответствии с руководящими принципами GDPR и DORA.
• Тестирование и симуляции: Разработка и проведение технических мероприятий красной команды, тестирования на проникновение под угрозой (TLPT) и кризисных симуляций как с техническими инженерами, так и с исполнительным советом.

Метрики успеха за 12 месяцев:

1. Скорость заключения сделок: Корпоративные проверки безопасности банков проходят без блокирующих проблем высокого уровня, что ускоряет заключение корпоративных контрактов.
2. Проактивный реестр рисков: Общекорпоративный реестр рисков полностью функционирует при поддержке руководства, систематически снижая корпоративные риски и одновременно поддерживая расширение бизнеса.
3. Показатели соответствия нормативным требованиям и аудита: Программа соответствия DORA функционирует; ISO 27001 и SOC 2 успешно продлеваются во всех операционных регионах.
4. Укрепление инжиниринга и ИИ: Средства контроля безопасности цепочки поставок программного обеспечения, стандарты безопасного кодирования и защитные механизмы для оболочек ИИ полностью интегрированы в рабочие процессы CI/CD разработки.
5. Устойчивая работа команды: Четырехчленная команда безопасности работает с высокой автономией, определенными KPI и высоким уровнем межфункционального доверия внутри компании.

ПРОФИЛЬ КАНДИДАТА:

• Основы практики: Подтвержденный опыт работы в качестве практического специалиста по безопасности (например, бывший инженер по безопасности, специалист по безопасности приложений, архитектор облачной безопасности или технический специалист по тестированию на проникновение), который продвинулся в руководство в сфере безопасности.
• Опыт «игрока-тренера»: Демонстрируемая способность управлять и развивать небольшую команду экспертов в своей области, одновременно лично проверяя технические конфигурации, аудируя облачные политики или расследуя оповещения.
• Свободное владение коммерческими вопросами и общение CISO-to-CISO: Опыт обсуждения архитектуры, мер контроля цепочки поставок и моделей угроз непосредственно с CISO корпоративных банков и советами по оценке безопасности для устранения препятствий в заключении сделок.
• Свободное владение ИИ и защитой цепочки поставок: Способность быстро понимать нашу архитектуру ИИ, внедрять практические меры контроля для укрепления инструментов ИИ (включая оболочки ИИ и песочницы) и защищать конвейеры CI/CD от рисков цепочки поставок программного обеспечения.
• Опыт выполнения требований реестра рисков: Демонстрируемая способность поддерживать действующий реестр рисков, излагать компромиссы между рисками нетехническим руководителям и добиваться согласия инженерного и коммерческого отделов для устранения рисков.
• Опыт работы с FinTech и регулируемыми SaaS: Многолетний опыт руководства в сфере B2B SaaS, FinTech или банковских платформ, обрабатывающих конфиденциальные финансовые или транзакционные данные под надзором регулирующих органов (например, DORA, ISO 27001, SOC 2, GDPR).
• Техническая широта: Глубокое практическое понимание примитивов безопасности AWS и GCP, безопасности контейнеров и Kubernetes, современных IAM/SSO, API-шлюзов и инструментариев EDR/XDR.

ПРИВЕТСТВУЕТСЯ:

• Сертификаты отрасли, отражающие техническую или управленческую компетентность (например, CISSP, CISM, CCSP, OSCP).
• Прямой опыт защиты архитектур потоковой передачи событий в реальном времени.
• Знание немецкого языка (разговорный или свободный) является весомым преимуществом.