Главный специалист по информационной безопасности (CISO)

Что предстоит делать

Кто мыCatalyst Capital — прибыльная, самостоятельно финансируемая холдинговая компания, строящая диверсифицированную группу финансовых услуг: образование, издательское дело, программное обеспечение, инструменты управления капиталом и налогового планирования, инвестиционные продукты и собственная торговая технология. Финансируется исключительно из собственных операционных денежных средств. Мы никогда не привлекали внешний капитал.Денежный двигатель — Decentralized Masters, бизнес в сфере DeFi-образования, который за четыре года вырос с нуля до 150+ человек, 4 500+ платящих участников и примерно $48,6 млн выручки за FY26 при рентабельности по прибыли до налогообложения около 25%. Этот двигатель финансирует всё остальное на этой странице.Краткое описание ролиCatalyst Capital нанимает своего первого Chief Information Security Officer, который будет отвечать за безопасность всех брендов группы. Вы определите стратегию, построите программу и лично возглавите реагирование, когда что-то пойдёт не так.Работа состоит из двух половин. Одна половина — это ядро роли CISO: реагирование на инциденты, управление идентификацией и доступом, риски поставщиков, защита от фишинга, политики и готовность к аудиту, а также решения, которые может принять только человек. Другая половина — сделать безопасность управляемой ИИ: картографировать всю нашу поверхность атаки и построить агентные системы, которые тестируют, мониторят и аудируют её с почти полным покрытием, чтобы безопасность не отставала по мере того, как всё большая часть компании работает на ИИ. Это роль player-coach: примерно половина времени — практическая работа, руководство небольшой командой инженеров.Вы подчиняетесь руководству группы, ежемесячно докладываете руководящей команде и являетесь тем человеком, которому доверяют объяснять риски простым языком и принимать решения под давлением.Что вы будете курироватьКлючевое руководство безопасностью (примерно половина)Стратегия и программа безопасности. Владейте стратегией безопасности, дорожной картой и бюджетом для Decentralized Masters, Legacy, Inflection Club, Sentinelis и будущих брендов. Ежемесячно докладывайте руководству о состоянии, ключевых рисках и тенденциях, с реестром рисков, на который руководство может опираться.Реагирование на инциденты. Владейте IR от начала до конца: обнаружение, триаж, локализация, устранение, восстановление и постмортем. Руководите процессом во время живого инцидента и координируйте работу с юристами, форензик-компаниями, страховщиками и регуляторами. Поддерживайте runbooks в актуальном состоянии и проводите tabletop-учения.Безопасность облака и идентификации. Владейте управлением идентификацией и доступом по всей группе: SSO, MFA, роли с наименьшими привилегиями, резервирование администраторов и краткосрочные учётные данные. Установите базовый стандарт безопасности AWS.Риски третьих сторон и поставщиков. Оценивайте безопасность каждого поставщика и поставщика данных, от которых мы зависим, включая их аудиты и аттестации, и устанавливайте планку, которую поставщик должен преодолеть перед подключением к нашим системам или данным.Безопасность платформ и клиентских аккаунтов. Устанавливайте стандарты защиты входа и защиты от захвата аккаунтов на наших платформах и работайте с инженерными командами, которые владеют каждой платформой, чтобы внедрить их.Защита от фишинга и имперсонации. Владейте безопасностью электронной почты, обучением сотрудников и фишинговыми симуляциями. Руководите защитой бренда: находите и блокируйте поддельные домены и аккаунты, выдающие себя за наши бренды и руководителей.Политики, соответствие требованиям и доверие. Пишите и применяйте политики, которым люди действительно следуют. Готовьте компанию к SOC 2 или ISO 27001 совместно с Legal & Compliance. Владейте публичной историей безопасности и доверия, включая страницу доверия на наших продуктах.Руководство командой. Управляйте нашими инженерами по безопасности и развивайте их, решайте, что мы строим внутри, а что отдаём на аутсорс, и расширяйте команду только там, где автоматизация не справляется.Осведомлённость участников о мошенничестве. Предоставляйте security-контент для сообщений об осведомлённости о мошенничестве для участников, работая с Community, Support и Marketing. Формулировки утверждает Legal.Безопасность на основе ИИ (примерно половина)Полная карта поверхности атаки. Создайте и поддерживайте живой инвентарь всего, что мы запускаем: внутренние приложения, облако, репозитории кода и каждый SaaS-инструмент и интеграцию (CRM, телефония, сообщество, платежи, поставщики данных). Знайте, что с чем связано, у кого есть доступ и что логируется.Агентный security-харнесс. Проектируйте и запускайте системы на основе ИИ, которые приближаются к 100% покрытию: автоматизированный обзор кода и зависимостей, непрерывные аудиты конфигураций и доступов, а также обзор документации поставщиков. Люди задают направление и принимают решения; агенты выполняют исчерпывающую работу.Обнаружение и логирование на основе ИИ. Владейте security-стеком (SIEM, Rapid7; защита конечных точек; безопасность электронной почты; управление идентификацией и устройствами), убедитесь, что каждая критическая система отправляет пригодные для использования логи, и используйте ИИ для триажа алертов и охоты по ним.Стандарты безопасного ИИ и vibe-coding. Установите правила того, как команды строят с помощью ИИ: что можно выпускать, к каким данным могут обращаться ИИ-инструменты и каков путь проверки перед запуском чего-либо с клиентскими данными.Безопасность ИИ-агентов. По мере того как всё большая часть компании работает на агентах и автоматизациях, защищайте их: ограниченные по области действия учётные данные и разрешения инструментов, защита от prompt injection, раскрытие данных, а также мониторинг и guardrails для агентов в продакшене. Проверяйте агентов высокого риска перед запуском, включая наших собственных security-агентов.Область охватаЭта роль защищает нашу компанию, наши платформы, наши данные и наши бренды. Для личных кошельков и аккаунтов участников вне наших платформ наша роль — образование: помогать участникам распознавать мошенничество и избегать его.ТребованияЧто вы принесётеОбязательноОпыт 10+ лет в безопасности, включая 3+ года руководства функцией безопасности в роли CISO, Head of Security или эквивалентной в компании с 100+ человек.Руководил реагированием на живые инциденты, а не только tabletop-учениями, включая брифинг руководителей во время инцидента.Построил или перестроил программу безопасности с раннего этапа: стратегия, политика, инструменты, обучение и реагирование на инциденты.Оператор, для которого ИИ — естественная среда. Ежедневно использует ИИ-агентов для выполнения работы: написание детекций, обзор кода и конфигураций, чтение документации поставщиков, составление политик. Может показать нам харнессы, рабочие процессы или автоматизации, которые вы построили, и знает, где ИИ останавливается и должно вступать человеческое суждение.Глубокое, актуальное знание рисков, специфичных для ИИ: prompt injection, чрезмерно широкие разрешения агентов, раскрытие учётных данных и данных через ИИ-инструменты и небезопасный код, сгенерированный ИИ.Практический опыт с облачной безопасностью (предпочтительно AWS), управлением идентификацией и доступом, SIEM, защитой конечных точек и безопасностью электронной почты.Пишет код: скрипты, инструменты и автоматизацию, а не только через интерфейсы поставщиков.Опыт в крипто, финтехе или другой отрасли с высоким уровнем мошенничества, а также глубокое знание фишинга, социальной инженерии и атак с имперсонацией.Умеет читать мелкий шрифт: тщателен с документацией, контрактами и условиями безопасности поставщиков, и документирует всё, чтобы ничего не ускользнуло.Докладывает руководителям простым языком, обучает нетехнических сотрудников и пишет политики, которым люди следуют.Player-coach: комфортно проводить около половины времени в практической работе, руководя небольшой полностью удалённой командой в разных часовых поясах.ЖелательноГотовил компанию к SOC 2 или ISO 27001.Защищал или оценивал ИИ-агентов и инструменты на основе LLM в продакшене.Руководил программой рисков третьих сторон, охватывающей агрегаторы финансовых данных или аналогичных поставщиков.Руководил программой защиты бренда или takedown.Опыт с клиентскими функциями безопасности, такими как защита от захвата аккаунтов.Опыт с количественной оценкой рисков (FAIR или аналогичной) и презентациями совету директоров.Сертификации, такие как CISSP, CISM, GCIH или OSCP.ПреимуществаЧто мы предлагаемКонкурентоспособный компенсационный пакетВозможность работы в качестве Independent ContractorПолностью удалённая, глобально распределённая командаКомандные выезды (Дубай, Коста-Рика и т.д.)Коллаборативная, прогрессивная культура, ценящая инновации и результатыFind Jobs in Germany on Arbeitnow