Главный специалист по информационной безопасности (CISO)

Что предстоит делать

Кто мы Catalyst Capital — прибыльная, самостоятельно финансируемая холдинговая компания, строящая диверсифицированную группу финансовых услуг: образование, издательское дело, программное обеспечение, инструменты управления капиталом и налогового планирования, инвестиционные продукты и собственные торговые технологии. Финансируется исключительно за счёт собственных операционных средств. Мы никогда не привлекали внешний капитал. Денежный двигатель — Decentralized Masters, бизнес в сфере DeFi-образования, который за четыре года вырос с нуля до 150+ человек, 4 500+ платящих участников и примерно $48,6 млн выручки за FY26 при прибыли до налогообложения около 25%. Этот двигатель финансирует всё остальное на этой странице. Краткое описание роли Catalyst Capital нанимает своего первого Chief Information Security Officer, который будет отвечать за безопасность всех брендов группы. Вы определите стратегию, построите программу и лично возглавите реагирование, когда что-то пойдёт не так. Работа состоит из двух половин. Одна половина — это ядро роли CISO: реагирование на инциденты, управление идентификацией и доступом, риски поставщиков, защита от фишинга, политики и готовность к аудиту, а также решения, которые может принять только человек. Другая половина — сделать безопасность управляемой с помощью AI: картографировать всю нашу поверхность и построить агентные системы, которые тестируют, мониторят и аудируют её с почти полным покрытием, чтобы безопасность не отставала по мере того, как всё большая часть компании работает на AI. Это роль player-coach: примерно половина времени — практическая работа, руководство небольшой командой инженеров. Вы подчиняетесь руководству группы, ежемесячно докладываете команде руководителей и являетесь тем человеком, которому доверяют объяснять риски простым языком и принимать решения под давлением. Что вы будете курировать Ключевое руководство безопасностью (примерно половина) Стратегия и программа безопасности. Владейте стратегией безопасности, дорожной картой и бюджетом для Decentralized Masters, Legacy, Inflection Club, Sentinelis и будущих брендов. Ежемесячно докладывайте руководству о состоянии, ключевых рисках и тенденциях с реестром рисков, на который руководство может опираться. Реагирование на инциденты. Владейте IR от начала до конца: обнаружение, триаж, локализация, устранение, восстановление и постмортем. Руководите процессом во время живого инцидента и координируйте работу с юристами, форензик-компаниями, страховщиками и регуляторами. Поддерживайте runbook'и в актуальном состоянии и проводите tabletop-учения. Безопасность облака и идентификации. Владейте управлением идентификацией и доступом по всей группе: SSO, MFA, роли с наименьшими привилегиями, резервирование администраторов и краткосрочные учётные данные. Установите базовый стандарт безопасности AWS. Риски третьих сторон и поставщиков. Оценивайте безопасность каждого поставщика и поставщика данных, от которых мы зависим, включая их аудиты и аттестации, и устанавливайте планку, которую поставщик должен преодолеть перед подключением к нашим системам или данным. Безопасность платформ и клиентских аккаунтов. Устанавливайте стандарты защиты входа и защиты от захвата аккаунтов на наших платформах и работайте с инженерными командами, которые владеют каждой платформой, чтобы внедрить их. Защита от фишинга и имперсонации. Владейте безопасностью электронной почты, обучением сотрудников и фишинговыми симуляциями. Руководите защитой бренда: находите и блокируйте поддельные домены и аккаунты, выдающие себя за наши бренды и руководителей. Политики, комплаенс и доверие. Пишите и внедряйте политики, которым люди действительно следуют. Готовьте компанию к SOC 2 или ISO 27001 совместно с Legal & Compliance. Владейте публичной историей безопасности и доверия, включая страницу доверия на наших продуктах. Руководство командой. Управляйте нашими инженерами по безопасности и развивайте их, решайте, что мы строим внутри, а что отдаём на аутсорс, и расширяйте команду только там, где автоматизация не справляется. Осведомлённость участников о мошенничестве. Предоставляйте контент по безопасности для сообщений об осведомлённости о мошенничестве для участников, работая с Community, Support и Marketing. Юридический отдел утверждает формулировки. Безопасность на основе AI (примерно половина) Полная карта поверхности атаки. Создайте и поддерживайте живой инвентарь всего, что мы используем: внутренние приложения, облако, репозитории кода и каждый SaaS-инструмент и интеграцию (CRM, телефония, сообщество, платежи, поставщики данных). Знайте, что с чем связано, у кого есть доступ и что логируется. Агентный security-каркас. Проектируйте и запускайте системы на основе AI, которые приближаются к 100% покрытию: автоматизированный обзор кода и зависимостей, непрерывные аудиты конфигураций и доступа, а также обзор документации поставщиков. Люди задают направление и принимают решения; агенты выполняют исчерпывающую работу. Обнаружение и логирование на основе AI. Владейте стеком безопасности (SIEM, Rapid7; защита конечных точек; безопасность электронной почты; управление идентификацией и устройствами), обеспечьте, чтобы каждая критическая система отправляла пригодные для использования логи, и используйте AI для триажа алертов и охоты по ним. Стандарты безопасного AI и vibe-coding. Установите правила того, как команды строят с помощью AI: что можно выпускать, какие данные могут затрагивать AI-инструменты и путь проверки перед запуском чего-либо с клиентскими данными. Безопасность AI-агентов. По мере того как всё большая часть компании работает на агентах и автоматизациях, защищайте их: ограниченные учётные данные и разрешения инструментов, защита от prompt injection, раскрытие данных, а также мониторинг и guardrails для агентов в продакшене. Проверяйте агентов высокого риска перед запуском, включая наших собственных security-агентов. Область охвата Эта роль защищает нашу компанию, наши платформы, наши данные и наши бренды. Что касается личных кошельков и аккаунтов участников вне наших платформ, наша роль — образование: помогать участникам распознавать мошенничество и избегать его.

Что ждём от вас

• Что вы принесёте
• Обязательно
• 10+ лет в сфере безопасности, включая 3+ года руководства функцией безопасности в роли CISO, Head of Security или эквивалентной в компании со штатом 100+ человек.
• Руководили реагированием на живые инциденты, а не только tabletop-учениями, включая брифинг руководителей во время инцидента.
• Построили или перестроили программу безопасности с раннего этапа: стратегия, политики, инструменты, обучение и реагирование на инциденты.
• AI-native оператор. Ежедневно использует AI-агентов для выполнения работы: написание детекций, обзор кода и конфигураций, чтение документации поставщиков, составление политик. Может показать нам каркасы, рабочие процессы или автоматизации, которые вы построили, и знает, где AI останавливается и должно вступать человеческое суждение.
• Глубокие, актуальные знания специфических для AI рисков: prompt injection, чрезмерно широкие разрешения агентов, раскрытие учётных данных и данных через AI-инструменты и небезопасный AI-сгенерированный код.
• Практический опыт с облачной безопасностью (предпочтительно AWS), управлением идентификацией и доступом, SIEM, защитой конечных точек и безопасностью электронной почты.
• Пишет код: скрипты, инструменты и автоматизацию, а не только через UI поставщиков.
• Опыт в крипто, финтехе или другой отрасли с высоким уровнем мошенничества, а также глубокие знания фишинга, социальной инженерии и атак с имперсонацией.
• Умеет читать мелкий шрифт: тщателен с документацией, контрактами и условиями безопасности поставщиков, и документирует всё, чтобы ничего не ускользнуло.
• Докладывает руководителям простым языком, обучает нетехнических сотрудников и пишет политики, которым люди следуют.
• Player-coach: комфортно проводить около половины времени в практической работе, руководя небольшой полностью удалённой командой в разных часовых поясах.
• Желательно
• Готовил компанию к SOC 2 или ISO 27001.
• Защищал или оценивал AI-агентов и инструменты на основе LLM в продакшене.
• Руководил программой рисков третьих сторон, охватывающей агрегаторы финансовых данных или аналогичных поставщиков.
• Руководил программой защиты бренда или блокировки.
• Опыт с клиентскими функциями безопасности, такими как защита от захвата аккаунтов.
• Опыт с количественной оценкой рисков (FAIR или аналогичной) и презентациями совету директоров.
• Сертификации, такие как CISSP, CISM, GCIH или OSCP.
• Преимущества

Что предлагаем