Senior Security Assurance Engineer

Организация Security Assurance в GitLab отвечает за то, как GitLab проектирует, тестирует и документирует контрольные меры, защищающие бизнес. Эта роль управляет программой технологического соответствия в системах, которые работают в компании, и намеренно не привязана к какому‑либо фреймворку или отделу: та же дисциплина контроля применяется везде, где система имеет значение для финансовой отчётности, обязательств по безопасности, клиентских контрактов или регуляторных требований. В область ответственности входят корпоративные приложения и инфраструктура идентификации, находящиеся в управлении IT, инструменты Corporate Security, приложения, разрабатываемые Engineering и поддерживающие бизнес‑операции (биллинг на основе использования, управление подписками и правами, измерение, provisioning), а также сторонние SaaS, где GitLab сохраняет ответственность за контроль.

• Разрабатывать, документировать и поддерживать IT General Controls и контрольные меры безопасности в охватываемой сфере, а также тестировать их на соответствие требованиям регуляторов, контрактов и корпоративных политик по проектированию и операционной эффективности.
• Сопоставлять общие контрольные меры один раз и тестировать их для одновременного удовлетворения нескольких обязательств — SOX, SOC 2, ISO 27001, ISO 42001, NIST CSF, PCI‑DSS, нормативы по конфиденциальности и клиентские контрактные обязательства.
• Выступать в роли контактного лица по соответствию и связующего звена для команд IT, Corporate Security, Engineering и Finance, владеющих охватываемыми системами, чтобы единая оценка обслуживала Security Governance, Security Risk, Internal Audit, SOX PMO, Legal и Privacy.
• Помогать устанавливать стандарты и ожидания контроля при использовании AI в корпоративных и бизнес‑системах — оценивать инструменты, агенты и интеграции на предмет влияния на контроль, определять, как выглядит приемлемое использование и доказательства, и эскалировать случаи, релевантные SOX или затрагивающие данные клиентов.
• Сотрудничать с Security Governance по работе над корпоративными политиками безопасности: вносить вклад и проверять содержание политик, стандартов и процедур для систем, где вы выступаете связующим звеном, а также поддерживать обзор политик, аттестацию и соблюдение Acceptable Use Policy.
• Проводить регулярный мониторинг соответствия — обзоры доступа пользователей, привилегированный доступ, разделение обязанностей, управление изменениями и базовые конфигурации — с ежемесячной, квартальной и ежегодной периодичностью.
• Оценивать внедрения систем, миграции и значительные изменения на готовность к контролю перед запуском и консультировать команды Engineering и разработки приложений по требованиям контроля на ранних этапах проектирования.
• Управлять тестированием SOX ITGC и запросами на сертификацию от внутренних и внешних аудиторов, а также координировать сбор доказательств для внешних аудитов, автоматизируя сбор там, где это возможно.
• Выявлять, отслеживать и руководить устранением недостатков контроля и рисков, а также предлагать улучшения процессов соответствия, метрик и отчётности по всей сфере.

• 5+ лет в области IT‑compliance, security compliance, IT audit, информационной безопасности или информационных технологий, с дипломом BA/BS в бизнесе или технологической сфере либо эквивалентным опытом. Опыт работы в Big 4 или внешнем аудите считается плюсом.
• Подтверждённый опыт тестирования контролей и документирования этих тестов в соответствии с фреймворками, такими как COSO, COBIT, NIST CSF, ISO 27001, SOC 2 и SOX ITGC, а также прямое взаимодействие с внутренними или внешними аудиторами.
• Опыт оценки контролей в SaaS и облачно‑нативных стэках приложений, а не только в традиционных on‑premise системах.
• Практические знания в области управления идентификацией и доступом — SSO, SCIM, RBAC, привилегированный доступ и процессы присоединения/перемещения/выхода сотрудников.
• Знакомство с концепциями управления AI и вопросами контроля, возникающими при использовании AI‑инструментов, агентов и интеграций — обработка данных, объём доступа, человеческий обзор, логирование и доказательства.
• Опыт участия в разработке политик и стандартов безопасности, а также поддержки их соблюдения или аттестационных процессов в сотрудничестве с функцией управления.
• Способность анализировать потоки данных между системами использования продукта, биллинга, подписки и финансовой отчётности и определять, где находятся риски контроля в этих потоках.
• Исключительные навыки письменной и устной коммуникации, подтверждённые доверием со стороны высшего руководства, инженерных команд, аудиторов и юридического отдела.
• Умение работать с GitLab или готовность быстро его изучить.

Nice to haves: релевантные сертификаты, такие как CISA, CISSP, CRISC или CISM; опыт работы с платформами биллинга на основе использования или потребления, системами управления подписками или внутренними сервисами измерения и предоставления прав; опыт автоматизации соответствия и непрерывного мониторинга контроля, либо установления стандартов использования AI в корпоративной среде (ISO 42001, NIST AI RMF); предыдущий опыт в функции Security Assurance или GRC, поддерживающей как корпоративный IT, так и инженерные продукты.

• Преимущества для поддержки вашего здоровья, финансов и благополучия
• Гибкий оплачиваемый отпуск
• Группы ресурсов сотрудников
• Компенсация в виде акций и план покупки акций сотрудниками
• Фонд роста и развития
• Декретный отпуск

United States Salary Range

$139,200—$196,000 USD