Руководитель направления информационной безопасности

Что предстоит делать

Trivio — онлайн-сервис, который помогает компаниям оптимизировать тревел-расходы, упрощая процесс организации деловых поездок. Наша команда создала и развивает IT-платформу, интегрированную со множеством поставщиков туристического контента: авиа и железнодорожные билеты, отели, трансферы, такси и многое другое. Продукт Trivio уже помогает оптимизировать процесс командировок более 4 000 компаний. Ежедневно наши клиенты оформляют от 10 000 поездок и тратят на одно бронирование менее 2 минут. У нас отличная команда, лучший продукт и драйвовые задачи. А еще мы аккредитованная IT-компания и с 2021 года резидент Сколково. Trivio динамично развивается, и мы всегда в поиске талантливых и увлеченных людей с опытом работы в бизнес-тревел, продажах и разработке IT-продуктов. В 2025 году компания вошла в рейтинг лучших работодателей России по версии РБК. Сейчас мы ищем Руководителя направления информационной безопасности, который возьмёт ответственность за развитие информационной безопасности и соблюдение требований международной B2B SaaS-платформы. Нам нужен руководитель с сильным техническим и управленческим опытом. Он будет работать с разработкой, инфраструктурой, юридической командой, корпоративными клиентами, аудиторами и внешними поставщиками услуг по информационной безопасности. Наша цель — не создавать процессы и документы ради формального соответствия требованиям. Мы хотим построить практичную функцию информационной безопасности, которая снижает реальные риски и помогает бизнесу работать с клиентами в разных юрисдикциях. Мы ищем человека, который умеет объяснять риски понятным языком, предлагать варианты их снижения и рекомендовать решение с учётом влияния на бизнес, стоимости и остаточного риска. Что вы будете делать: 1. Стратегия, compliance и работа с клиентами • Формировать стратегию информационной безопасности, проводить оценку текущего состояния и подготовить реалистичный план улучшений; • Развивать систему управления информационной безопасностью в соответствии с ISO 27001 и требованиями применимых юрисдикций; • Управлять рисками информационной безопасности, вести реестр рисков и поддерживать политики и обязательные меры защиты в актуальном состоянии; • Готовить компанию к аудиту SOC 2 и международным требованиям корпоративных клиентов. Сопровождать аудиторов, собирать подтверждающие материалы и устранять замечания; • Совместно с юридической службой обеспечивать соблюдение GDPR и требований к персональным данным. Развивать подход privacy by design, включая трансграничную передачу данных, локализацию, DPA и работу с подрядчиками; • Отвечать на анкеты по информационной безопасности, участвовать в RFP/RFI и сопровождать проверки со стороны клиентов и партнёров; • Представлять функцию информационной безопасности на встречах с зарубежными клиентами и аудиторами на английском языке; • Определять целевую модель команды, бюджет и распределение задач между внутренними сотрудниками и внешними поставщиками услуг. 2. Безопасность продукта и инфраструктуры • Развивать Secure SDLC, AppSec и управление уязвимостями; • Определять требования к SAST, DAST, SCA, secrets scanning и threat modelling; • Проводить проверку архитектуры совместно с командами разработки, DevOps и SRE; • Помогать принимать решения по безопасности облачной инфраструктуры, IAM, Kubernetes, контейнеров, логирования и управления секретами; • Организовывать penetration testing и контролировать устранение выявленных уязвимостей; • Проводить оценку безопасности облачных сервисов, поставщиков и других внешних подрядчиков. 3. Инциденты, мониторинг и AI Security • Развивать процессы реагирования на инциденты, требования к логированию и мониторингу безопасности. При необходимости организовывать взаимодействие с SOC/MSSP; • Проводить разборы инцидентов и учебные сценарии, чтобы улучшать процессы и снижать повторяемость рисков; • Формировать практические правила безопасного использования AI во внутренних инструментах и продукте. Учитывать риски утечки данных, prompt injection, контроль доступа, безопасность AI-поставщиков. Что мы ждем от Вас: • Опыт в информационной безопасности от 7 лет. Опыт на уровне Senior / Lead / Head либо самостоятельное управление крупным направлением; • Опыт работы в продуктовой IT-компании, SaaS, fintech, travel-tech, e-commerce или другом цифровом бизнесе; • Практический опыт с ISO 27001 и GDPR. Понимание SOC 2 и международных требований корпоративных клиентов; • Понимание российского законодательства в области персональных данных и информационной безопасности, включая 152-ФЗ; • Хорошее понимание современных web/cloud-архитектур, AppSec, Secure SDLC, OWASP, облачной безопасности, IAM, Kubernetes, управления секретами и уязвимостями; • Опыт оценки рисков, проверки архитектуры и построения понятного плана развития информационной безопасности; • Практический опыт обеспечения безопасности Azure или Kubernetes, опыт работы с PCI DSS, управления рисками поставщиков или privacy engineering • Понимание процессов реагирования на инциденты, SIEM/SOC и мониторинга безопасности; • Английский на уровне C1 или близком к нему. Необходимо свободно проводить встречи с зарубежными клиентами и аудиторами, обсуждать архитектуру и меры защиты, вести переписку и отвечать на анкеты по информационной безопасности; (или б2 разговорный). • Умение переводить security-риски в понятные бизнес-решения: объяснять варианты, стоимость внедрения и остаточный риск. Будет плюсом: • Опыт самостоятельного прохождения сертификации ISO 27001 и аудита SOC 2 Type I / Type II; • Опыт работы с европейскими или американскими корпоративными клиентами и в международной SaaS-компании; • Опыт построения функции информационной безопасности с нуля или её существенной трансформации; • Опыт AI Security / AI Governance. Знание рисков LLM security, OWASP Top 10 for LLM Applications, NIST AI RMF, EU AI Act или ISO/IEC 42001; • Сертификаты CISSP, CISM, CISA, CCSP, ISO 27001 Lead Implementer / Lead Auditor, CIPP/E или CIPM — они не заменяют практический опыт.

Что предлагаем