# О компании
emerchantpay — ведущий глобальный поставщик платежных услуг и эквайер для онлайн, мобильных, офлайн и телефонных платежей. Наше глобальное платежное решение доступно через простую интеграцию и предлагает широкий спектр функций, включая глобальный эквайринг, глобальные и локальные методы оплаты, продвинутое управление мошенничеством и оптимизацию производительности. Мы даём бизнесу возможность создавать бесшовные и привлекательные платежные решения для их клиентов.
Мы ищем опытного руководителя по информационной безопасности, который возьмёт на себя ответственность за проектирование, внедрение и постоянное улучшение информационной безопасности в нашей облачно-нативной, ориентированной на DevOps инженерной среде, а также в корпоративной IT и офисной инфраструктуре.
Роль сочетает в себе практическую техническую работу и лидерство в области безопасности. Руководитель по информационной безопасности будет задавать направление в области безопасности и лично обеспечивать его выполнение — защищать нашу облачную платформу, конвейеры доставки и микросервисы, руководить операциями безопасности и реагированием на инциденты, а также внедрять безопасность в процессы разработки и выпуска продуктов.
Роль тесно взаимодействует с командами инженерии, DevOps и функцией управления IT, рисками и соответствием (GRC). Особое внимание уделяется безопасности AWS и облачно-нативной безопасности в современной архитектуре микросервисов.
Обязанности
•Определять и поддерживать стратегию информационной безопасности, стандарты и дорожную карту, соответствующие применимым нормативам, правилам и лучшим практикам безопасности.
•Руководить архитектурой безопасности в облачно-нативной среде, определяя паттерны безопасного проектирования для микросервисов, API и общих платформенных сервисов.
•Устанавливать и контролировать практики безопасного жизненного цикла разработки ПО (secure SDLC), внедряя автоматизированные средства контроля безопасности в CI/CD конвейеры.
•Определять и продвигать внедрение облачных ограничений безопасности — управление идентификацией, сегментация сети, шифрование, управление секретами и базовые настройки конфигурации.
•Создавать и поддерживать системы мониторинга безопасности, логирования и обнаружения угроз на уровнях облака, инфраструктуры и приложений.
•Руководить жизненным циклом реагирования на инциденты безопасности — подготовка, обнаружение, локализация, устранение, восстановление и анализ после инцидента — и выступать в роли командира инцидента по вопросам безопасности.
•Отвечать за управление уязвимостями и угрозами: сканирование, приоритизация на основе рисков, отслеживание исправлений и отчётность по инфраструктуре, контейнерам и коду приложений.
•Планировать и координировать проведение тестов на проникновение и упражнений по наступательной безопасности (внутренних или с привлечением сторонних ресурсов) и доводить результаты до закрытия.
•Управлять идентификацией и доступом, привилегированным доступом и принципами минимально необходимого доступа в облачных и корпоративных системах.
•Определять и контролировать меры защиты данных — шифрование, управление ключами, классификация данных и предотвращение потерь — для конфиденциальных и данных держателей карт.
•Обеспечивать безопасность корпоративной IT и офисной инфраструктуры, включая конечные устройства, сети, а также платформы для продуктивности и совместной работы.
•Сотрудничать с командами инженерии и DevOps, чтобы сделать безопасный путь простым и удобным, предоставляя инструменты, стандарты, моделирование угроз и обзоры архитектуры.
•Вносить предложения по безопасности в архитектурные и изменения, включая внедрение новых технологий и сторонних сервисов.
•Проводить программы повышения осведомлённости по безопасности и устойчивости к фишингу для технического и нетехнического персонала.
•Внедрять и подтверждать технические меры безопасности, лежащие в основе аудитов PCI DSS, ISO 27001 и SOC.
•Отслеживать развитие ландшафта угроз и появление новых технологий безопасности.
•Быть ключевым членом внутреннего центра компетенций по безопасности и участвовать в межфункциональных рабочих группах по безопасности.
•Формировать, руководить и наставлять небольшую команду специалистов по безопасности.
•Отчитываться о состоянии безопасности, ключевых рисках и метриках.
Требования
•Степень бакалавра или магистра в области компьютерных наук, информационной безопасности или смежной области, либо эквивалентный практический опыт.
•Не менее 10 лет опыта в области информационной / кибербезопасности, включая минимум 2-3 года на руководящей должности, с практическим опытом обеспечения безопасности облачно-нативных сред в масштабе.
•Глубокие практические знания безопасности публичных облаков (предпочтительно AWS): управление идентификацией, сетями, шифрованием, логированием и управлением конфигурациями.
•Сильный опыт обеспечения безопасности DevOps / CI/CD конвейеров и современных архитектур микросервисов — контейнеры, API и инфраструктура как код.
•Рабочие знания безопасности приложений и безопасного жизненного цикла разработки ПО (secure SDLC) для современных языков программирования и веб-фреймворков.
•Практический опыт работы с операциями безопасности, реагированием на инциденты и управлением уязвимостями.
•Хорошее понимание фреймворков безопасности и стандартов соответствия, релевантных для платежей: ISO 27001, PCI DSS, SOC 2 и NIST CSF.
•Рабочая грамотность в области безопасности ИИ, с практическим использованием инструментов безопасности с поддержкой ИИ (например, помощники по кодированию на базе генеративного ИИ, AI-усиленный SAST/DAST и аналитика SIEM/SOC) и практическое понимание обеспечения безопасности ИИ/LLM и агентных приложений, включая AWS AI сервисы, такие как Amazon Bedrock, и OWASP Top 10 рисков для LLM (например, инъекции запросов и утечки данных).
•Сильные аналитические и проблемно-ориентированные навыки, высокая честность и здравый смысл.
•Отличные устные и письменные коммуникативные навыки, свободное владение английским языком и способность убеждать инженеров с помощью данных, логики и лучших практик.
Будет преимуществом
•Профессиональные сертификаты, такие как CISSP, CCSP, OSCP, AWS Security Specialty или CISM.
•Опыт работы в платежной, финтех, банковской или другой регулируемой среде.
•Знание требований к операционной устойчивости (например, требования в стиле DORA).
•Опыт создания функции безопасности с нуля.
Условия
•Быстрорастущая платежная компания.
•Отличные условия работы, неформальная атмосфера и современное оборудование.
•Современный, сложный и постоянно развивающийся бизнес.
•Профессиональное развитие — книги, тренинги, сертификации и др.
•Командные мероприятия и развлекательные активности.
•25 оплачиваемых дней отпуска, 1 дополнительный день за каждые 2 года работы.
•Полностью распределённая и удалённая работа.
Если вы заинтересованы, пожалуйста, отправьте резюме только на английском языке. Свяжутся только с кандидатами, прошедшими предварительный отбор.
