О компании
Chainguard — это надежный источник для открытого программного обеспечения. Предоставляя укрепленные, безопасные и готовые к производству сборки всего открытого программного обеспечения, на которое полагаются инженеры и агенты ИИ, Chainguard помогает организациям создавать продукты быстрее, соблюдать нормативные требования и устранять риски.
Наши клиенты включают предприятия из списка Fortune 500 и мировых лидеров отрасли, включая Anduril, Canva, Fortinet, Hewlett Packard Enterprise, OpenAI, Snap Inc. и Snowflake.
Chainguard финансируется венчурными инвесторами, среди которых Amplify, IVP, Kleiner Perkins, Lightspeed Venture Partners, Mantis VC, Redpoint Ventures, Sequoia Capital и Spark Capital.
Кратко о роли
Chainguard создает безопасную основу для разработки и развертывания программного обеспечения. Наша команда по управлению и доверию обеспечивает эффективность, измеримость и заслуженность доверия наших клиентов в вопросах безопасности, лежащих в основе этой миссии.
Мы нанимаем старшего специалиста для руководства направлением соответствия и доверия в этой команде. Вы будете отвечать за выполнение внешних проверок (SOC 2, ISO 27001, Cyber Essentials и растущего набора отраслевых и региональных сертификатов), управлять ответами на запросы по безопасности от клиентов и вести операции по управлению рисками третьих сторон. Вы возглавите направление соответствия и доверия, в которое входят аналитик по соответствию для государственного сектора и два аналитика по безопасности, работающих с клиентами, с ожидаемым формальным управлением этой группой по мере роста команды.
Это не роль для формального соблюдения чек-листов. Наша операционная модель рассматривает политики и контрольные меры как код, использует доказательства из систем учета, а не скриншоты, и применяет ИИ-агентов для первичной обработки анкет и оценки поставщиков. Вы будете тем, кто решает, что эти системы должны выдавать, оцениваете правильность их результатов и отвечаете за них перед аудитором или клиентом.
Что вам предстоит делать
•Полностью управлять выполнением внешних проверок Chainguard: календарь предоставления доказательств, запросы по выборкам и полноте и точности, выполнение выборок, звонки с аудитором о статусе и оценка готовности перед каждым циклом. Работать с руководителем отдела управления и доверия по вопросам объема, применимости контроля и переговоров с аудитором.
•Строить и поддерживать рабочие отношения с отделами кадров, ИТ, инфраструктуры, инженерии, юридическим отделом и продажами, от которых зависят доказательства, выборки и устранение недостатков. Соответствие и доверие в Chainguard охватывают большую часть компании, и функция не должна постоянно преследовать другие команды за необходимым.
•Отвечать за проверку безопасности клиентов: анкеты по безопасности, аудиты клиентов, контент Центра доверия и многоэтапные оценки, которые проводят регулируемые клиенты. Устанавливать реалистичные ожидания по срокам с отделом продаж и решать, что мы можем и не можем предоставить.
•Отвечать за программу управления рисками третьих сторон: прием и классификация поставщиков, оценки, решения и реестр критически важных поставщиков и их соглашений.
•Выступать в роли владельца продукта для клиентской части нашей платформы агентов: определять, что должны делать агенты по ответам на анкеты и оценке поставщиков, поддерживать базу проверенных ответов, на которую они опираются, и оценивать, достаточно ли хорош их результат для отправки. Быть в курсе того, как другие компании автоматизируют проверку и ответы, и внедрять лучшие подходы, когда они существуют.
•Преобразовывать повторяющиеся шаблоны в анкетах, аудитах и обзорах поставщиков в постоянные артефакты, пакеты для самостоятельного использования и улучшения контроля, чтобы один и тот же вопрос отвечался один раз.
•Работать с единым каталогом контролей для всех фреймворков и возвращать ошибки сопоставления и реализации на сторону управления, а не поддерживать списки, специфичные для каждого фреймворка.
•Генерировать выводы и доказательства устранения, которые выдерживают повторное внешнее тестирование, и обеспечивать процесс корректирующих действий с анализом корневых причин, а не симптомов.
•Руководить работой аналитика по соответствию для государственного сектора по отношениям с оценщиками и взаимодействию с федеральными клиентами, при этом технические решения по объему остаются за руководителем отдела управления и доверия.
•Отвечать за результаты, которые описываются в отчетах по соответствию и доверию для CISO: что было закрыто, что просрочено, сколько это стоило и что было защищено. В случае просрочки проводить ретроспективу и инициировать межкомандные действия по ее результатам.
•Наставлять аналитиков в команде, давать и принимать обратную связь в обе стороны, а также помогать строить команду по мере ее роста.
Желательно иметь
•Опыт руководства со стороны проверяемого при комбинированной проверке SOC 2 Type 2 и ISO 27001. Не просто участие: вы управляли выборками, полнотой и точностью, отношениями с аудитором, спорили с аудитором по вопросам применимости контроля или объема и можете рассказать, чем это закончилось.
•Свободное владение процессами проверки безопасности клиентов в регулируемых отраслях: SIG, CAIQ, анкеты в стиле DORA, оценки через порталы, аудиты клиентов. Понимание коммерческих рисков и умение отстаивать позицию перед отделом продаж, не потеряв сделку.
•Опыт проведения массовых оценок рисков поставщиков в рамках программы управления рисками третьих сторон и умение отличать решения, которые можно принять, от тех, которые нужно эскалировать.
•Видение доказательств как данных. Комфорт с выборками, определяемыми запросами, доказательствами из систем идентификации, HR и облачных систем, а также с управлением политиками и контролями в Git. Не обязательно писать код, но предпочтение системе перед скриншотом обязательно.
•Опыт работы в системе управления с функционирующей петлей корректирующих действий и понимание разницы между выполненным действием и эффективным контролем.
•Опыт руководства или наставничества младших специалистов и умение управлять очередью задач по метрикам. Желание возглавить команду и умение объяснить почему.
•Умение целенаправленно строить и поддерживать межфункциональные отношения. Доказательства, выборки и устранение недостатков, от которых зависит эта роль, находятся в других командах, и роль не может эффективно работать в изоляции.
•Комфорт работы в международной среде: распределенная команда в США, Великобритании и Европе, клиенты и аудиторы в разных часовых поясах, а также режимы Великобритании и ЕС наряду с американскими.
•Умение принимать решения под давлением проверки: когда оспаривать, когда уступать, когда отзывать устаревший артефакт, когда эскалировать.
•Четкое письмо для аудиторов, клиентов и руководителей.
Будет плюсом, если у вас есть
•Опыт работы с требованиями государственного сектора США (FedRAMP, GovRAMP, CMMC) или режимами Великобритании и ЕС (Cyber Essentials, UK GDPR, EU Cyber Resilience Act, DORA).
•Опыт миграции программы с платформы GRC или создания баз ответов, пакетов доверия или автоматизации ответов.
•Знакомство с ISO/IEC 42001 или управлением ИИ.
•Понимание концепций безопасности цепочки поставок программного обеспечения: SBOM, подписи, происхождение, SLSA.
•Сертификаты CISA, ISO 27001 Lead Auditor или Lead Implementer, или эквивалентные.
Почему эта роль важна
Клиенты Chainguard все больше подвержены регулированию, и вопросы, которые они задают, становятся сложнее. Эта роль определяет, как мы на них отвечаем и выдерживают ли наши ответы проверку аудитора. Вы построите возможности соответствия и доверия в компании по безопасности, чей продукт — это доверие, с перспективой возглавить команду, которая этим занимается.
Диапазон базовой зарплаты
$151,000—$178,000 USD
О нас
Мы живем и дышим ценностями нашей компании:
•Мы одержимы клиентами — Мы сосредоточены на предоставлении решений, которые создают ценность и делают жизнь наших клиентов лучше.
•Мы склонны к целенаправленным действиям — Мы приоритизируем, планируем, пробуем и быстро учимся на ошибках.
•Мы не воспринимаем себя слишком серьезно (но выполняем серьезную работу) — Мы решаем важную задачу, требующую концентрации, но также любим наслаждаться процессом.
•Мы доверяем друг другу и предполагаем добрые намерения — Мы прозрачны в принятии решений, чтобы дать возможность членам команды принимать обоснованные решения.
Некоторые из преимуществ, которые мы предлагаем:
•Гибкая и ориентированная на удаленную работу культура: Работа удаленно с возможностями встреч команды, дважды в год — выездные саммиты и ежемесячная компенсация расходов на коворкинг, телефон и интернет.
•Наш подход к акциям: Получайте опционы на акции при найме и повышении. Кроме того, вы можете участвовать во вторичных предложениях и иметь 10 лет на реализацию опционов.
•100% покрытие медицинской страховки: Мы покрываем 100% ваших страховых взносов по медицинской, офтальмологической и стоматологической страховке для вас и ваших иждивенцев. Ничего не вычитается из вашей зарплаты.
•∞ Гибкий отпуск: Берите столько времени, сколько нужно.
•18 недель оплачиваемого отпуска по уходу за ребенком: Мы предлагаем 18 недель для рожающих родителей и 12 недель для нерожающих, с возможностью использовать весь отпуск сразу или в течение первого года жизни ребенка.
Если ваш опыт близок, но не полностью соответствует всем требованиям, пожалуйста, подавайте заявку.
