Security Risk Management Lead

Идеальный кандидат будет проектировать, разрабатывать, настраивать и внедрять решения для сложных технических и бизнес‑проблем в рамках программы Security Third Party и более широкой программы Security Risk Management. Он будет одинаково комфортно формировать политику и выпускать автоматизацию с использованием современных инструментов (Python, Cursor, Claude и других агентных платформ кодирования), заменяя ручную работу GRC масштабируемыми, определяемыми кодом рабочими процессами. Кандидат будет выступать в роли эксперта‑предметника, взаимодействовать с бизнес‑ и инженерными заинтересованными сторонами и играть ключевую роль в трансформации Security Risk Management из функции, ориентированной на соответствие, в дисциплину инженерии безопасности.

• Руководить и развивать программу Security Third Party в Affirm, включая проектирование, внедрение и постоянное улучшение процессов, контролей и операционных рабочих потоков
• Создавать и поддерживать автоматизацию, заменяющую ручные задачи GRC: приём, триаж, сбор доказательств, проверку контролей, отслеживание, эскалации и отчётность, используя Python, платформы low‑code и агентные инструменты кодирования (Cursor, Claude и др.)
• Проектировать и управлять оркестрацией рабочих потоков и интеграциями между системами, такими как тикетинг, платформы GRC, инструменты управления поставщиками, провайдеры идентификации и облачные контрольные плоскости
• Тесно сотрудничать с отделами Procurement, Legal, Engineering, IT, Compliance, Privacy и бизнес‑заинтересованными сторонами для оценки и управления рисками безопасности в отношениях с третьими сторонами
• Преобразовывать неоднозначные бизнес‑ и требования к безопасности в практические, масштабируемые решения программы и рамки принятия решений
• Выявлять возможности автоматизации ручных процессов в программе и самостоятельно прототипировать решения, а не ждать их в инженерном бэклоге
• Обеспечивать операционное совершенство программы, устанавливая повторяемые процессы, ожидания уровня сервиса, метрики и отчётность по управлению рисками безопасности третьих сторон
• Оценивать контрольные меры безопасности третьих сторон, облачную архитектуру (AWS/GCP), паттерны интеграции и профиль риска, предоставляя чёткие рекомендации заинтересованным сторонам и руководству
• Проводить лёгкие модели угроз для высокорисковых интеграций и сотрудничать с Security SME для более глубокой проверки
• Управлять и приоритизировать портфель сложных обзоров и инициатив по рискам безопасности одновременно, балансируя бизнес‑возможности и снижение риска
• Сотрудничать с техническими командами для внедрения или оптимизации систем и инструментов, поддерживающих автоматизацию программы и оркестрацию рабочих потоков
• Разрабатывать дашборды, механизмы отчётности и аналитики программы (SQL, BI‑инструменты или кастомные решения), повышающие видимость тенденций риска, узких мест и эффективности программы
• Выступать в роли надёжного советника и эксперта по управлению рисками безопасности третьих сторон, помогая заинтересованным сторонам принимать информированные, основанные на риске решения
• Вносить вклад в более широкую стратегию Security Risk Management, выявляя возможности масштабировать, упрощать и укреплять процессы управления безопасностью через инженерные решения

• 5+ лет опыта в области информационной безопасности, управления рисками, инженерии и/или смежных ролях
• Практический опыт использования агентных инструментов кодирования (Cursor, Claude Code, Copilot и др.) и рабочие знания Python; не требуется быть инженером‑программистом, но необходимо уметь читать, модифицировать и запускать скрипты, создавать автоматизации и полностью реализовывать небольшие инструменты
• Знакомство с облачными средами (AWS, GCP или Azure) — IAM, журналирование, общие сервисы и риски/контроли безопасности, применимые к облачным третьим сторонам и интеграциям
• Отличные навыки письменной и устной коммуникации
• Опыт разработки решений с помощью Python, Claude, Cursor или других агентных инструментов кодирования
• Опыт работы с отраслевыми рамками информационной безопасности и контроля (NIST Cyber Security Framework, ISO 2700x, SOC1&2(SSAE18), PCI DSS, NIST-800-53, FFIEC Cybersecurity Assessment Tool, SANS Top 20 и др.)
• Степень BA или BS в области информационной безопасности, кибербезопасности, компьютерных наук или смежных областей, либо эквивалентный опыт
• Внимание к деталям и опыт работы с практиками и инструментами безопасности
• Доказанная способность доводить проекты до завершения
• Способность понимать и объяснять технические вопросы не‑техническим командам

• Профессиональная сертификация в области информационной безопасности или управления рисками (например, CISSP, CISM, CISA, CRISC и др.) будет плюсом

• Медицинское страхование без затрат: мы покрываем 100 % премий для сотрудников и их иждивенцев.
• Стипендии на расходы: ежемесячные выплаты поддерживают вашу техническую настройку и позволяют выбирать варианты здоровья и благополучия, которые подходят вам.
• Отпуск для восстановления: гибкий отпуск и щедрые праздничные календари помогают отдохнуть, когда это необходимо.
• Владейте частью того, что создаёте: наш план покупки акций сотрудниками (ESPP) позволяет приобретать акции Affirm со скидкой.
• Принцип «remote‑first» с встроенной гибкостью: большинство ролей можно выполнять из любой точки страны, где вы работаете. Некоторые позиции могут иногда требовать присутствия в офисе Affirm, а несколько — офисной работы из‑за характера задач.
• Инклюзивный процесс интервью с учётом потребностей кандидатов с ограниченными возможностями.
• Обязательство рассматривать квалифицированных соискателей с арестами и судимостями, где это требуется законом.