Описание
MetaMask — самостоятельная (self-custodial) финансовая платформа с более чем 100 миллионами загрузок, пользователями примерно в 190 странах и совокупным объёмом транзакций в триллионы долларов. Компания строит операционную систему для денег, позволяющую людям хранить, перемещать, наращивать и использовать то, чем они владеют.
Задачи
•Вести реестр рисков на основе модели угроз программы безопасности: заполнять его, отслеживать обработку рисков, фиксировать решения о принятии рисков, взаимодействовать с владельцами рисков и вести реестр исключений
•Поддерживать актуальность ISMS и библиотеки политик безопасности для готовности к аудиту; разрабатывать стандарты безопасности по поручению руководителя (Lead)
•Вести Drata как систему контроля и сбора доказательств, включая Statement of Applicability, сопоставление с фреймворками и автоматизацию
•Вести мониторинг критичных контролей, включая проверки состояния, флаги отклонений (drift), автоматизацию Drata; направлять отклонения в SOC и поддерживать доказательства для оценок руководителя и независимых внутренних аудитов
•Передавать результаты оценки угроз в реестр и рейтинги уверенности; отслеживать актуальность требуемых оценок
•Координировать подготовку и проведение аудитов ISO 27001 и SOC 2, включая логистику, готовность ISMS, подготовку команды, пакеты для управленческого обзора и опросники due diligence для клиентов
•Координировать реестр контролей для внешнего тестирования, включая red team упражнения, командно-штабные учения (tabletop exercises) и пентесты; проводить обучение по безопасности и еженедельные оповещения
•Отслеживать остаточный риск, исключения и закрытие пробелов относительно риск-аппетита; отчитываться по истекшим исключениям, сохраняя действие базовых требований
•Отчитываться о состоянии реестра и готовности доказательств, чтобы руководитель и комитет по рискам могли работать с единой картиной
•Нести ответственность за актуальную и защищаемую систему контроля посадки (posture engine), охватывающую реестр, доказательства и операции аудита
•Обеспечивать непрерывный сбор доказательств в Drata, используя автоматизированные доказательства там, где есть покрытие
Требования
•Практический опыт ведения реестра рисков, библиотеки контролей и цикла аудита (ISO 27001 и/или SOC 2)
•Уверенное владение GRC-платформами (Drata или аналогичными) и умение превращать мониторинг в доказательства
•Подтверждённая способность координировать аудиты и опросники клиентов с назначенными владельцами контролей
•Точность в письменной работе; качество реестра и Statement of Applicability имеет значение
•Сильные навыки управления заинтересованными сторонами — владельцами контролей и аудиторами
•Сертификация CISA, ISO 27001 Lead Implementer или Auditor, или эквивалентная профессиональная сертификация
Условия
•Формат работы: удалённо
•Компания не может рассматривать заявки от кандидатов, находящихся во Франции, Италии или Германии
•Оплата для кандидатов вне США, включая Канаду, EMEA и LATAM, определяется исходя из местоположения, опыта и навыков в ходе собеседования и может отличаться от указанного диапазона для США
•Диапазон оплаты для США (без учёта бонусов, акций и других льгот): $150 000 — $206 000 USD
