Задачи
•Выявлять, оценивать и вести реестр ИБ- и IT-рисков
•Оценивать риски новых систем, проектов, интеграций, архитектурных решений и существенных изменений
•Оценивать риски при взаимодействии с третьими сторонами
•Анализировать технологические решения с точки зрения возможных сценариев отказа, компрометации, потери данных и влияния на бизнес
•Формировать и контролировать планы по снижению выявленных рисков, сроки и фактическое выполнение мероприятий
•Организовывать процесс принятия остаточного риска и контролировать его актуальность
•Участвовать в анализе существенных инцидентов и пересматривать оценку рисков по их результатам
•Формировать отчётность и регулярно представлять существенные риски руководству ИБ и ИТ
•Участвовать в выполнении требований регуляторов, PCI DSS, ISO 27001 и внутренних политик компании
•Взаимодействовать с IT, разработкой, инфраструктурой, архитектурой, внутренним аудитом и другими подразделениями по вопросам управления рисками
•Развивать методологию и процессы управления ИБ- и IT-рисками
Требования
•Опыт работы в информационной безопасности, IT Risk, GRC, IT-аудите или внутреннем контроле
•Понимание принципов управления технологическими и информационными рисками
•Понимание устройства современных IT-систем: приложений, API, баз данных, инфраструктуры, сетей и внешних сервисов
•Умение разбираться в технических решениях и переводить технические проблемы в понятные бизнес-риски
•Опыт оценки рисков и подготовки планов их обработки
•Знание основных требований и подходов PCI DSS, ISO 27001/27005
•Умение аргументированно обсуждать риски с техническими командами и руководителями
•Системное мышление, самостоятельность и хорошие аналитические навыки
Будет плюсом
•Опыт работы в банке, финтехе, платёжной организации или другой регулируемой компании
•Прохождение аудитов PCI DSS, ISO 27001 или аналогичных
•Опыт оценки рисков архитектурных решений, инфраструктуры, приложений и внешних интеграций
•Знание NIST
