Security Risk Management Lead

В Affirm безопасность считается критически важной для дальнейшего успеха компании. Наша миссия — развивать в Affirm культуру безопасности, позволяя компании успешно создавать честные финансовые продукты. Команда Security Risk Management развивается за рамки традиционных подходов к governance, risk и compliance; мы выстраиваем программу, основанную на инженерном подходе, которая проектирует, автоматизирует и масштабирует средства контроля, рабочие процессы и инструменты, защищающие Affirm и наших клиентов.

• Руководить Security Third Party Program в Affirm и повышать её зрелость, включая проектирование, внедрение и непрерывное совершенствование процессов, средств контроля и операционных рабочих процессов

• Отвечать за проверку безопасности (due diligence) перед запуском для третьих сторон, поддерживающих выход Affirm на новые международные рынки, таких как локальные платёжные процессоры, банковские и кредитные партнёры, кредитные бюро, провайдеры верификации личности и KYC, коллекторские агентства и хостинг-провайдеры в регионе. Адаптировать стандарты оценки третьих сторон в Affirm к новым рынкам с учётом требований к локализации данных, трансграничной передачи данных и местного регулирования

• Поддерживать руководство Finance - Strategy & Development, Legal и Security в проверке безопасности (due diligence) при M&A: оценивать программу безопасности приобретаемой компании, среду контроля, историю инцидентов, обработку данных и зависимости от третьих сторон, а выводы превращать в оценки рисков и рекомендации по сделке

• Руководить интеграцией портфеля поставщиков приобретённой компании в программу Affirm по работе с третьими сторонами после закрытия сделки, включая инвентаризацию, распределение по уровням риска, повторную оценку, а также отслеживание устранения замечаний и зависимостей от переходных сервисов до их закрытия

• Проектировать и поддерживать оркестрацию рабочих процессов и интеграции между такими системами, как системы тикетов, платформы GRC, инструменты управления поставщиками, провайдеры идентификации и облачные плоскости управления

• Тесно сотрудничать с Procurement, Legal, Engineering, IT, Compliance, Privacy, Corporate Development, командами международных запусков и бизнес-заинтересованными сторонами для оценки рисков безопасности и управления ими в отношениях с третьими сторонами

• Превращать неоднозначные бизнес-требования и требования безопасности в практичные, масштабируемые решения для программы и фреймворки принятия решений

• Находить возможности автоматизации ручных процессов в рамках программы и самостоятельно создавать прототипы решений, а не ждать своей очереди в бэклоге инженеров

• Обеспечивать операционное совершенство программы: выстраивать повторяемые процессы, ожидания по уровню сервиса, метрики и отчётность по управлению рисками безопасности третьих сторон

• Оценивать средства контроля безопасности третьих сторон, облачные архитектуры (AWS/GCP), схемы интеграции и уровень риска, а также давать чёткие рекомендации заинтересованным сторонам и руководству

• Проводить оценки по моделированию угроз (threat modeling) для высокорисковых интеграций и привлекать экспертов Security SME для более глубокой проверки

• Одновременно управлять портфелем сложных проверок и инициатив в области рисков безопасности и расставлять в нём приоритеты, включая конфиденциальную работу по сделкам в сжатые сроки, соблюдая баланс между поддержкой бизнеса и снижением рисков

• Сотрудничать с техническими командами во внедрении или оптимизации систем и инструментов, поддерживающих автоматизацию программы и оркестрацию рабочих процессов

• Разрабатывать дашборды, механизмы отчётности и аналитику по программе (SQL, BI-инструменты или собственные инструменты), улучшающие видимость трендов рисков, узких мест и показателей работы программы

• Выступать в роли надёжного консультанта и SME по управлению рисками безопасности третьих сторон, помогая заинтересованным сторонам принимать обоснованные решения на основе рисков

• Вносить вклад в общую стратегию Security Risk Management, находя возможности масштабировать, упрощать и укреплять процессы управления безопасностью с помощью инженерного подхода

• 5+ лет опыта в Information Security, Risk Management, Engineering и/или в соответствующих ролях

• Опыт проведения проверки безопасности (due diligence) объектов M&A или проведения оценок рисков третьих сторон в нескольких странах или регуляторных режимах

• Практический опыт использования агентных инструментов для написания кода (Cursor, Claude Code, Copilot и т. д.) и рабочие знания Python; вам не обязательно быть разработчиком, но вы должны достаточно свободно читать, изменять и запускать скрипты, создавать автоматизации и доводить небольшие инструменты до готового результата от начала до конца

• Знакомство с облачными средами (AWS, GCP или Azure): IAM, логирование, распространённые сервисы, а также риски и средства контроля безопасности, применимые к третьим сторонам и интеграциям, развёрнутым в облаке

• Отличные навыки письменной и устной коммуникации

• Опыт разработки решений с помощью Python, Claude, Cursor или других агентных инструментов для написания кода

• Опыт работы с отраслевыми фреймворками информационной безопасности и контроля (NIST Cybersecurity Framework, ISO 2700x, SOC 1 & 2 (SSAE 18), ISAE 3402, PCI DSS, NIST 800-53, CIS Critical Security Controls и т. д.)

• Степень BA или BS в области Information Security, Cyber Security, Computer Science или смежной области либо соответствующий опыт

• Внимание к деталям и опыт работы с практиками и инструментами безопасности

• Подтверждённая способность доводить проекты до завершения

• Умение понимать технические вопросы и объяснять их нетехническим командам и руководству

• Здравое суждение и осмотрительность при работе с конфиденциальной информацией, связанной со сделками

• Знакомство с международными требованиями к защите данных и к устойчивости третьих сторон или операционной устойчивости (например, GDPR, EU DORA и т. д.) будет плюсом

• Профессиональная сертификация в области Information Security или Risk Management (например, CISSP, CISM, CISA, CRISC и т. д.) будет плюсом

Базовая оплата является частью общего пакета вознаграждения, который может включать ежемесячные выплаты на здоровье, благополучие и технику, а также льготы (включая полностью, на 100%, оплачиваемую медицинскую страховку, стоматологию и страховку на лечение зрения для вас и ваших иждивенцев). Кроме того, сотрудники могут иметь право на вознаграждение в виде акций от Affirm Holdings, Inc. (материнской компании).

Льготы, созданные для васНаши льготы отражают нашу приверженность заботе, прозрачности и гибкости. Вот некоторые из них:

• Медицинская страховка без затрат: мы покрываем 100% взносов для сотрудников и их иждивенцев.

• Выплаты на расходы: ежемесячные выплаты поддерживают обустройство вашего технического оснащения и возможность выбрать варианты для здоровья и благополучия, которые подходят именно вам.

• Время на восстановление сил: гибкий отпуск и щедрый календарь праздников помогут вам отдыхать, когда это необходимо.

• Владейте частью того, что создаёте: наш план приобретения акций сотрудниками (ESPP) позволяет покупать акции Affirm со скидкой.

Мы стремимся обеспечить инклюзивный процесс собеседования, включая адаптацию для кандидатов с ограниченными возможностями. Если вам нужна поддержка, мы будем рады помочь.