Senior Specialist, Information Security (GRC)

Senior Information Security Specialist (GRC) самостоятельно руководит сложными мероприятиями в области управления, риска и соответствия, а также выступает в качестве эксперта в одной или нескольких областях GRC — корпоративное управление информационной безопасностью, рамки управления рисками, нормативное соответствие или управление рисками третьих сторон.

Роль создаёт высококачественные результаты GRC, предоставляет техническое наставничество младшим и средним членам команды и напрямую вносит вклад в постоянное улучшение рамок GRC организации, процессов обработки рисков и механизмов отчётности по соответствию. Senior Specialist соединяет техническую реализацию и руководство программой, сотрудничая с руководителями, юридическим отделом, аудитом и бизнес‑заинтересованными сторонами для доставки зрелых, эффективных результатов GRC, соответствующих регуляторной среде Fintech ОАЭ.

Ключевые обязанности

Руководство корпоративным управлением информационной безопасностью:

• Руководить разработкой, обзором и постоянным улучшением политик, стандартов, процедур и рамок управления информационной безопасностью, обеспечивая их соответствие CSF, NCA ECC, ISO 27001 и PCI‑DSS.
• Выступать в качестве эксперта по назначенным нормативным областям, предоставляя авторитетную интерпретацию требований и переводя их в реализуемые цели контроля.
• Мониторить и проактивно отслеживать нормативные и правовые изменения, влияющие на информационную безопасность, оценивать их влияние и рекомендовать обновления рамок управления.
• Подготавливать и проверять документацию по управлению (матрицы RACI, обновления устава безопасности, пакеты комитетов по управлению) и представлять результаты старшим заинтересованным сторонам.
• Руководить подготовкой регуляторных самооценок и аттестаций соответствия, координировать сбор доказательств и проводить качественный контроль представляемых материалов перед подписью старшего руководства.
• Наставлять младших членов команды по качеству документации управления, интерпретации нормативов и методологии оценки рисков.

Корпоративное управление рисками:

• Руководить проведением сложных оценок рисков информационной безопасности предприятия, применяя продвинутые качественные и количественные методологии для создания профилей рисков, соответствующих аппетиту к риску организации.
• Вести и поддерживать реестр рисков информационной безопасности предприятия, обеспечивая точность, актуальность и надлежащую эскалацию значимых рисков.
• Руководить процессами BIA для критически важных бизнес‑функций, координировать работу с владельцами активов, анализировать требования к восстановлению и формировать результаты BIA для планов непрерывности бизнеса и восстановления после катастроф.
• Разрабатывать и выполнять программы тестирования эффективности контроля, создавая отчёты с анализом пробелов и рекомендациями по исправлению, ранжированными по уровню риска.
• Руководить управлением рисками информационной безопасности третьих сторон, разрабатывая рамки оценки, проводя глубокие обзоры поставщиков и поддерживая реестр рисков третьих сторон.
• Подготавливать отчётность уровня исполнительного руководства с анализом тенденций, выявлением новых рисков и отслеживанием прогресса их обработки для старшего менеджмента и комитетов.

Доставка программы соответствия:

• Руководить мероприятиями мониторинга соответствия CSF, NCA ECC, PDPL, ISO 27001 и PCI‑DSS, создавая анализы пробелов, планы обработки и периодические отчёты о статусе соответствия.
• Управлять внутренними и внешними аудитными циклами, координировать сбор доказательств, проверять их качество, взаимодействовать с аудиторами и отслеживать исправления до их завершения.
• Разрабатывать и проводить программу повышения осведомлённости в области безопасности, создавая целевой контент для разных групп сотрудников, проводя обучающие сессии и анализируя метрики эффективности.
• Разрабатывать и поддерживать дашборды метрик программы GRC, обеспечивая точное измерение KPI и KRI и их представление старшему руководству в запланированные сроки.
• Руководить интеграцией требований информационной безопасности в контракты с третьими сторонами, процессы закупок и ввод крупных проектов.
• Вносить вклад в разработку стратегии программы информационной безопасности, выявляя возможности улучшения возможностей и рекомендуя приоритеты инвестиций руководителю.

Кросс‑функциональное сотрудничество и лидерство в знаниях:

• Выступать в качестве основного контакта GRC для назначенных бизнес‑ и технологических команд, предоставляя экспертные рекомендации по требованиям безопасности, обработке рисков и обязательствам по соответствию.
• Руководить классификацией информации и обзорами требований безопасности для значимых ИТ, продуктовых и бизнес‑проектов.
• Вносить вклад в базу знаний GRC, разрабатывая повторно используемые шаблоны, руководящие документы и обучающие материалы для внутреннего использования.
• Представлять функцию GRC в кросс‑функциональных рабочих группах, комитетах по управлению проектами и регуляторных рабочих потоках.

Навыки, знания и экспертиза

Образование:

• Степень бакалавра в области информационных технологий, компьютерных наук, программной инженерии, кибербезопасности, управления рисками или смежных дисциплин.
• Степень магистра в области информационной безопасности, управления рисками или бизнес‑администрирования считается преимуществом.

Опыт:

• 3+ лет прогрессивного профессионального опыта в управлении информационной безопасностью, управлении рисками или соответствии.
• Доказанный опыт самостоятельного руководства циклами оценки рисков, программами нормативного соответствия или координации аудита.
• Глубокие знания как минимум двух нормативных рамок, применимых к Fintech‑среде (CSF, NCA ECC, PDPL, ISO 27001, PCI‑DSS) обязательны.
• Опыт работы в регулируемой Fintech или банковской среде сильно предпочтителен.

Сертификации и лицензии:

• ISO 27001 Lead Implementer (обязательно).
• CRISC (Certified in Risk and Information Systems Control) или CISM: обязателен или находится в процессе получения.
• CDPSE (Certified Data Privacy Solutions Engineer) считается преимуществом для специалистов по PDPL.

• Степень магистра в области информационной безопасности, управления рисками или бизнес‑администрирования считается преимуществом.
• CDPSE (Certified Data Privacy Solutions Engineer) считается преимуществом для специалистов по PDPL.

Преимущества

• Рабочая среда, предоставляющая вам автономию и ответственность с первого дня.
• Вы должны быть готовы к тому, что качество вашей работы будет влиять на форму вашей карьеры.
• Участие в программе опционов компании для сотрудников.
• Медицинская страховка
• Flexi Perks: денежное пособие, дающее вам свободу использовать его по своему усмотрению — будь то здоровье и благополучие, образование и профессиональное развитие или путешествия!