Основная ответственность — обеспечить, чтобы компания понимала свои обязательства, своевременно предоставляла точную информацию и постоянно была готова к регуляторным проверкам. Это не в первую очередь роль инженера по безопасности. Глобальные команды информационной безопасности и технологий реализуют технические меры контроля. Руководитель информационной безопасности должен переводить мексиканские регуляторные требования в понятные действия, координировать их выполнение с этими командами, проверять доказательства и нести ответственность за конечный регуляторный результат. Успешный кандидат должен сочетать высокий регуляторный опыт с дисциплинированным выполнением. Роль требует человека, который лично проверяет факты, доводит вопросы до завершения и не полагается на вмешательство в последний момент со стороны других функций.
Задачи, которые вас ждут:
Регуляторное соответствие
- Мониторинг мексиканских требований в области информационной безопасности, кибербезопасности, технологических рисков, обеспечения непрерывности бизнеса и связанных регуляторных требований, применимых к Компании.
- Ведение полного реестра регуляторных обязательств, сроков отчетности, ответственных владельцев, требуемых доказательств, зависимостей и текущего статуса.
- Интерпретация регуляторных требований и их перевод в четкие, выполнимые задачи для команд информационной безопасности, технологий, внутренного ИТ, операций, предотвращения мошенничества, обеспечения непрерывности бизнеса и других ответственных подразделений.
- Оценка влияния изменений в регуляторных требованиях и координация необходимых обновлений контролей, процессов, политик, процедур и отчетности.
- Эскалация регуляторных рисков, отсутствия доказательств и потенциальных задержек до того, как обязательства станут просроченными.
Регуляторная отчетность
- Ответственность за подготовку и координацию отчетов по информационной безопасности, официальных ответов, индикаторов, пакетов доказательств и запросов информации, представляемых мексиканским регуляторам.
- Координация отчетности, связанной с CNBV, Banco de México, SPEI и другими применимыми местными надзорными органами в рамках информационной безопасности.
- Проверка всей представленной информации в сопоставлении с исходными системами и подтверждающими доказательствами.
- Обеспечение того, чтобы отчеты точно отражали выполненную работу, ответственных владельцев, статус контроля, выводы, инциденты и прогресс в устранении проблем.
- Ведение четкой аудиторской трассировки источников данных, проверок, одобрений, представлений и корреспонденции с регуляторами.
- Предотвращение подачи неполной, неподтвержденной, несогласованной или вводящей в заблуждение информации руководству, аудиторам или регуляторам.
Регуляторные взаимодействия и проверки
- Выступать в качестве основного контакта по информационной безопасности в Мексике для регуляторных проверок, официальных запросов информации, интервью и последующих действий.
- Координация ответов совместно с Global CISO, Legal, Compliance, Risk, Internal Audit, Technology и другими заинтересованными сторонами.
- Подготовка представителей Компании к регуляторным встречам и обеспечение согласованности, точности и подтвержденности ответов доказательствами.
- Отслеживание всех обязательств перед регуляторами до их официального завершения.
- Поддержание готовности в течение года, а не только после начала проверки или запроса.
Аудит и гарантии
- Руководство подготовкой информационной безопасности к внутренним аудитам, регуляторным проверкам, оценкам SPEI, мероприятиям PCI DSS и другим гарантийным упражнениям, применимым к Мексике.
- Поддержание репозитория доказательств, который является полным, актуальным и легко проверяемым.
- Проверка доказательств перед их представлением и оспаривание неподтвержденных заявлений или неполных описаний контроля.
- Преобразование выводов в планы устранения с четкими владельцами, действиями, сроками, зависимостями и критериями приемки.
- Мониторинг выполнения планов и эскалация просроченных или заблокированных действий.
- Обеспечение того, чтобы аудиторская и регуляторная деятельность в области информационной безопасности оставалась под ответственностью Local CISO и не требовала передачи координации другой функции.
Управление информационной безопасностью
- Представление информационной безопасности перед местным руководством и контрольными функциями.
- Предоставление ясных отчетов о регуляторных рисках, пробелах в контроле, выводах аудитов, инцидентах, мерах по устранению и существенных рисках.
- Координация локального внедрения глобальной программы информационной безопасности.
- Обеспечение отражения местных регуляторных требований в документации по информационной безопасности Компании.
- Проверка локальных политик, процедур, стандартов и регуляторных ответов на предмет сохранения оригинальных требований и смысла контроля.
- Поддержка регуляторных аспектов инцидентов информационной безопасности, включая оценку обязательств по отчетности, сбор доказательств и координацию официальных уведомлений.
Управление командой и заинтересованными сторонами
- Управление локальной функцией регуляторной информационной безопасности с четкими обязанностями, измеримыми целями и регулярными оценками эффективности.
- Построение эффективных рабочих отношений с Compliance, Legal, Internal Audit, Risk, Technology, Operations, Fraud Prevention, Business Continuity и глобальными командами информационной безопасности.
- Распределение работы в соответствии с реальными обязанностями и фактической нагрузкой.
- Быстрое реагирование на недоработки и документирование управленческих действий.
- Запрос дополнительных ресурсов только при наличии четкого объема, нагрузки, дефицита возможностей и ожидаемого результата.
Что делает вас отличным кандидатом:
- Не менее 5 лет опыта в области информационной безопасности, управления кибербезопасностью, технологических рисков, регуляторного соответствия или ИТ-аудита.
- Не менее 3 лет опыта работы в регулируемом финансовом учреждении в Мексике.
- Прямой опыт работы с требованиями CNBV и регуляторными проверками.
- Практический опыт в области безопасности, аудита, отчетности или соответствия, связанных с Banco de México и SPEI.
- Доказанная ответственность за регуляторные подачи, официальные ответы, сбор доказательств и отслеживание устранения.
- Опыт перевода регуляторных требований в операционные и технические меры контроля.
- Опыт координации старших заинтересованных сторон из областей информационной безопасности, технологий, юридического отдела, соответствия, рисков, внутреннего аудита и операций.
- Опыт управления сотрудниками или специализированными регуляторными и безопасностными командами.
- Глубокое понимание управления информационной безопасностью, управления рисками, реагирования на инциденты, управления доступом, обеспечения непрерывности бизнеса, рисков третьих сторон, журналирования, управления уязвимостями и защиты данных.
- Свободное владение испанским и профессиональный уровень английского.
- Отличные навыки письменного общения на обоих языках.
Предпочтительные квалификации
- Опыт работы с PCI DSS, ISO 27001, регуляторной отчетностью об инцидентах, обеспечении непрерывности бизнеса и восстановлении после катастроф.
- Профессиональные сертификаты, такие как CISSP, CISM, CRISC, CISA или ISO 27001 Lead Auditor.