Краткое описание работы
Советник по безопасности (старший консультант по кибербезопасности и соответствию) осуществляет активное управление практикой безопасности, выступая в роли назначенного офицера по безопасности (vCISO) для портфеля клиентских организаций. Роль сочетает в себе практическую реализацию требований соответствия с управлением отношениями с клиентами, управлением рисками и постоянной консультативной работой по вопросам безопасности. Для выполнения роли требуется экспертное знание нормативных рамок соответствия, сильные навыки коммуникации с клиентами и организационная дисциплина для управления большим количеством одновременных проектов. Эта позиция относится к старшему уровню практики: она включает самые сложные и с наивысшим регуляторным риском проекты в портфеле и устанавливает технический стандарт для результатов соответствия практики.
Обязанности
1. Консультирование клиентов и выполнение функций vCISO:
•Выступать в роли назначенного офицера по безопасности (vCISO) для портфеля клиентских проектов: проводить регулярные встречи, быть основным контактным лицом по вопросам кибербезопасности клиентов и предоставлять регулярные обновления и отчёты о состоянии инициатив по безопасности, включая показатели эффективности, выявленные проблемы и рекомендации по улучшению.
•Строить крепкие отношения с клиентами, понимать уникальные регуляторные и бизнес-требования каждого клиента и решать их задачи с помощью индивидуальных стратегий и дорожных карт по безопасности.
•Выявлять потребности, выходящие за рамки контракта, и возможности для расширения программ безопасности в назначенных аккаунтах, предоставляя рекомендации по оптимизации и расширению руководству практики до обновления контрактов.
•Отслеживать и поддерживать состояние контрактов, обеспечивая своевременное информирование о проблемах с выполнением обязательств.
2. Реализация программ соответствия:
•Руководить подготовкой к CMMC уровня 1 и уровня 2: оценка контролей по NIST SP 800-171, разработка плана безопасности системы (SSP), создание и управление планом действий и мер (POA&M), поддержка подачи результатов в SPRS, сбор доказательств и подготовка клиентов к сторонней оценке.
•Консультировать клиентов по вопросам определения объёма CUI, обязательствам по DFARS 252.204-7012 и FAR 52.204-21, а также архитектурам анклавов, включая среды Microsoft GCC High.
•Выполнять проекты по соответствию в рамках дополнительных нормативных актов по мере необходимости, включая HIPAA / HITECH, SOC 2 (Типы I и II), PCI DSS v4.0, правило FTC Safeguards, GLBA, ISO/IEC 27001 и 27002, NIST Cybersecurity Framework 2.0, NIST SP 800-53, CIS Critical Security Controls v8 и управление ИИ (NIST AI RMF, ISO/IEC 42001).
•Консультировать по отраслевым и региональным требованиям по мере необходимости, включая NY DFS 23 NYCRR Part 500, правила раскрытия информации по кибербезопасности SEC, политику безопасности CJIS, готовность к StateRAMP / FedRAMP и законы штатов США о конфиденциальности (CCPA/CPRA и последующие), а также GDPR и ISO/IEC 27701 для клиентов с международным присутствием.
•Сопоставлять пересекающиеся наборы контролей между рамками для создания единой матрицы контролей, устраняя дублирование сбора доказательств по одновременным обязательствам клиента по соответствию.
3. Оценка безопасности и поддержка инженерных задач:
•Проводить комплексные оценки рисков для выявления потенциальных угроз и уязвимостей, разрабатывать и внедрять стратегии смягчения для повышения уровня безопасности клиентов, а также контролировать соблюдение нормативных требований и отраслевых стандартов, рекомендуя меры по устранению выявленных недостатков.
•Координировать сбор данных для проверки соответствия и получения критической информации о безопасности в инфраструктуре клиентов, обеспечивая точность и надежность.
•Анализировать результаты работы средств безопасности в экосистеме Microsoft (Defender XDR, Sentinel, Entra ID Protection, Intune, Purview, Conditional Access) и координировать устранение проблем с ИТ-командами клиентов и внутренними инженерами.
4. Прочие обязанности:
•Выполнять общие обязанности офицера по безопасности, такие как проведение совещаний по безопасности, поддержка заполнения анкет и подтверждений для киберстрахования, обеспечение работоспособности средств безопасности для назначенных клиентов.
•Помогать в мероприятиях по реагированию на инциденты (IR), включая возможное участие в ротации дежурств по эскалации инцидентов, поддержку координаторов SOC, коммуникацию с ключевыми заинтересованными сторонами во время инцидентов, участие в разработке сценариев реагирования и проведении послесобытийного анализа с клиентами.
•Вести точный и своевременный учёт рабочего времени в PSA (ConnectWise Manage); отработанные часы являются операционным и финансовым источником правды для практики.
•Вносить вклад в создание масштабируемых шаблонов, процессов взаимодействия и базы знаний практики, способствуя культуре постоянного улучшения и обмена знаниями.
•Выступать в роли ресурса для эскалации по вопросам сложной интерпретации рамок и определения контролей, а также поддерживать проверку качества результатов соответствия перед их передачей клиентам или оценщикам.
•Следить за новыми угрозами, уязвимостями и изменениями в нормативной базе — включая поэтапное внедрение CMMC Министерством обороны — оценивать их потенциальное влияние на клиентов и соответствующим образом корректировать стратегии.
Требования к кандидату
Квалификации и требования к кандидатам:
•CISSP (активный и в хорошем статусе) — обязательно на момент найма. Это жёсткое требование: обязательства получить сертификат, просроченные или сертификаты уровня Associate, а также замены опытом не рассматриваются.
•Требуются сертификаты экосистемы CMMC: CCP (Certified CMMC Professional) активный на момент найма, с обязательным получением CCA (Certified CMMC Assessor) в течение первых 12 месяцев. Статус Registered Practitioner (RP) сам по себе не удовлетворяет этому требованию.
•Дополнительные сертификаты приветствуются: CISM, CRISC, CISA, GIAC (GSLC, GCCC), CompTIA Security+, Security X, Microsoft SC-серии.
•Минимум восемь (8) лет прогрессивного опыта в области информационной безопасности, включая не менее трёх (3) лет работы по проектам соответствия или vCISO с портфелем нескольких клиентов в консалтинге, MSP или MSSP или аналогичной среде.
•Подтверждённый опыт владения как минимум двумя (2) завершёнными проектами подготовки к CMMC уровня 2 или эквивалентной оценкой по NIST SP 800-171, включая авторство SSP и управление POA&M до сторонней оценки.
•Документированное глубокое знание минимум трёх (3) различных нормативных рамок — поверхностное знакомство с множеством рамок не заменяет глубокое понимание.
•Опыт защиты результатов и определений контролей непосредственно перед аудиторами, сторонними оценщиками или регуляторами.
•Статус лица США (гражданин США или законный постоянный житель) обязателен из-за доступа к Контролируемой неклассифицированной информации (CUI) в рамках обязательств DFARS.
•Удалённая работа из США с надёжной доступностью в рабочих часах по часовым поясам США; возможны редкие поездки к клиентам для поддержки оценки.
Технические навыки:
Знания в области кибербезопасности и соответствия:
•Рабочее владение принципами и практиками кибербезопасности, включая стандарты и нормативы соответствия, такие как CMMC / NIST SP 800-171 и 800-171A, NIST SP 800-53, NIST CSF 2.0, HIPAA / HITECH, SOC 2, PCI DSS v4.0, правило FTC Safeguards, GLBA, ISO/IEC 27001 / 27002 и CIS Controls v8.
•Знакомство с нормативами федеральных контрактов — DFARS 252.204-7012, 7019, 7020 и 7021, FAR 52.204-21, маркировка и обработка CUI согласно 32 CFR Part 2002, а также поэтапное внедрение CMMC.
•Осведомлённость о смежных режимах конфиденциальности и отраслевых требованиях: законы штатов США о конфиденциальности, GDPR, NY DFS Part 500, обязательства по раскрытию информации SEC и CJIS.
•Опыт реагирования на инциденты и стратегий смягчения угроз.
Управление рисками:
•Умение проводить комплексные оценки рисков и сопоставлять результаты с контролями безопасности.
•Опыт создания и поддержания планов устранения недостатков (POA&M) и стратегий смягчения.
Технические инструменты:
•Знакомство с инструментами и технологиями кибербезопасности (например, SIEM, EDR/XDR, IDS/IPS, межсетевые экраны), предпочтительно опыт работы с экосистемой Microsoft Security.
•Опыт работы с платформами GRC и соответствия (например, IntelliGRC, Vanta, Secureframe, Drata, Onetrust, FutureFeed) и процессами сбора доказательств.
Навыки управления проектами:
•Способность управлять большим количеством одновременных клиентских проектов (20–30 отношений) с дисциплинированным приоритизированием.
•Сильные навыки планирования и выполнения; владение PSA/тикет-системами и инструментами отслеживания проектов.
•Умение работать в рамках — и улучшать — стандартизированные шаблоны и процессы доставки.
Межличностные навыки:
•Отличные коммуникативные навыки для взаимодействия с заинтересованными сторонами клиентов от ИТ-персонала до руководителей; способность переводить технические выводы в бизнес-термины.
•Умение строить и поддерживать крепкие отношения с клиентами и эффективно работать с координаторами и распределённой командой.
Аналитические и отчетные навыки:
•Умение отслеживать и отчитываться по метрикам проектов, статусу соответствия и прогрессу по результатам.
•Владение навыками подготовки ясных отчетов для клиентов и руководства.
•Экспертиза в мониторинге нормативного соответствия и совершенствовании политик и процедур безопасности на основе лучших отраслевых практик.
Профессиональное развитие:
•Обязательство поддерживать актуальность знаний о новых тенденциях и технологиях в области кибербезопасности, экосистеме CMMC и изменяющихся требованиях соответствия.
•Участие в отраслевых тренингах, конференциях и поддержание сертификатов.
Оплата труда
Заработная плата начинается от $95,000.00 до $120,000.00 в год (включая бонусы за выполнение, выплачиваемые ежемесячно) и может варьироваться в зависимости от опыта и местоположения.
Преимущества
•Медицинская страховка
•Стоматологическая и офтальмологическая страховка
•Страхование жизни
•Страхование от несчастных случаев
•Оплачиваемый отпуск (начинается с 15 дней в год)
•Оплачиваемый декретный/отцовский отпуск
•Оплачиваемые государственные праздники США
•Пенсионный план
•Повышение зарплаты/займы
•Программа здоровья и благополучия
•Обучение и сертификация за счёт компании
•Дополнительное страхование жизни (оплачивается сотрудником)
•Дополнительные медицинские планы (оплачиваются сотрудником)
