Security Officer

Что предстоит делать

Мы ищем Security Officer, который будет отвечать за комплексную безопасность компании и напрямую работать с собственником. Роль находится независимо от операционных подразделений и предполагает контроль ключевых технологических, финансовых, операционных, кадровых и партнерских рисков. Главная задача позиции — предотвращать существенные потери и инциденты, своевременно выявлять угрозы и обеспечивать собственнику прозрачное понимание рисков компании. Нам нужен не узкий IT-security специалист и не исключительно финансовый аудитор, а сильный security professional с глубокой экспертизой в одной из ключевых областей и широким практическим пониманием смежных рисков. Что мы ожидаем: Обязательно • опыт в information/cybersecurity, financial security, fraud prevention или corporate security; • опыт расследования технологических или финансовых инцидентов; • понимание платежных систем и финансовых операций; • понимание API, webhooks, logging, IAM и access management; • опыт построения и проверки internal controls; • способность анализировать финансовые данные, договоры, тарифы и отчеты провайдеров; • высокий уровень личной надежности и профессиональный скептицизм; • способность независимо сообщать собственнику о существенных проблемах; • русский и английский языки на рабочем уровне. Будет преимуществом • опыт в fintech, payments, banking, crypto или money transfer; • опыт работы с fraud detection, transaction monitoring, SIEM, PAM и IAM; • знание AML/KYC, sanctions compliance, PCI DSS, ISO 27001 или GDPR; • опыт проведения технических, финансовых или security-аудитов; • опыт взаимодействия с банками, регуляторами, правоохранительными органами и внешними экспертами; • профильные сертификации. Зона ответственности 1. IT и информационная безопасность • Контроль безопасности веб- и мобильных приложений, API, серверов, баз данных, облачной инфраструктуры и административных систем. • Выявление уязвимостей, backdoors, скрытых учетных записей и несанкционированных интеграций. • Контроль безопасности платежных интеграций и критической платежной логики, включая защиту webhooks, идемпотентность и предотвращение повторного исполнения операций. • Контроль критических изменений в платежных реквизитах, кошельках, комиссиях, лимитах и настройках провайдеров. • Организация vulnerability assessment, penetration testing и технических аудитов. • Контроль журналирования критических действий, резервного копирования и восстановления систем. • Разработка и поддержание плана реагирования на киберинциденты. 2. Доступы и критические полномочия • Создание и поддержание единого реестра систем, пользователей, ролей и прав доступа. • Внедрение принципов least privilege, персональных учетных записей, MFA и разделения обычных и административных доступов. • Контроль доступа к банкам, платежным провайдерам, биржам, криптокошелькам, облачной инфраструктуре, репозиториям, доменам, корпоративным системам и другим критическим ресурсам. • Регулярная ревизия доступов и немедленное прекращение доступа при увольнении или изменении роли сотрудника. • Контроль сервисных аккаунтов, API-ключей, токенов и других секретов. • Внедрение принципа segregation of duties / dual control для критических финансовых операций. • Обеспечение аварийного доступа к критическим системам без концентрации полного контроля у одного человека. 3. Финансовая безопасность и предотвращение мошенничества • Контроль движения средств от поступления платежа до выплаты получателю. • Контроль reconciliation между внутренними системами, банками, провайдерами и криптовалютными кошельками. • Выявление необъяснимых расхождений, повторных выплат, ошибочных возвратов, потерянных транзакций и других финансовых аномалий. • Контроль корректности комиссий, курсов, лимитов, платежных маршрутов и расчетов. • Выявление и расследование финансового мошенничества и внутренних злоупотреблений. • Контроль рисков, связанных с размещением средств у провайдеров, chargebacks, refunds, reversals и disputes. • Обеспечение сохранности доказательств и документирования финансовых инцидентов. 4. Партнеры и провайдеры • Security и risk due diligence новых банковских, платежных, технологических и операционных партнеров. • Проверка юридических лиц, лицензий, бенефициаров, санкционных и репутационных рисков. • Контроль соответствия фактических тарифов, комиссий, резервов и удержаний договорным условиям. • Выявление скрытых финансовых потерь, конфликтов интересов и потенциального мошенничества со стороны партнеров. • Контроль взаиморасчетов и ведение реестра партнерских инцидентов. • Участие в расследовании нарушений и организации претензионной работы, взыскания ущерба или прекращения сотрудничества совместно с соответствующими функциями компании. 5. Сотрудники и insider risk • Проверка кандидатов на критические позиции в пределах применимого законодательства. • Оценка рисков, связанных с сотрудниками, имеющими доступ к деньгам, ликвидности, критическим системам и административным правам. • Контроль концентрации критических полномочий и соблюдения принципа разделения обязанностей. • Выявление признаков обхода процедур, сокрытия информации, манипуляций с данными и потенциального сговора с клиентами или партнерами. • Организация расследований при наличии обоснованных подозрений. • Контроль безопасного процесса onboarding/offboarding и своевременного отзыва доступов. • Участие в обучении сотрудников требованиям безопасности и развитие культуры security awareness. 6. Государственные и регуляторные риски • Координация обработки запросов государственных и регуляторных органов совместно с юридической функцией. • Проверка полномочий и правовых оснований запросов. • Контроль объема раскрываемой информации и соблюдения требований к трансграничной передаче данных. • Подготовка сценариев действий при блокировке счетов, изъятии оборудования, регуляторных предписаниях и других существенных событиях. • Эскалация существенных государственных и регуляторных рисков собственнику. 7. Инциденты и расследования Security Officer отвечает за единую систему управления security и financial incidents: • классификация и приоритизация инцидентов; • оперативная эскалация критических случаев; • сохранение логов, документов и иных доказательств; • определение фактического и потенциального ущерба; • установление root cause; • разработка corrective actions; • контроль предотвращения повторных инцидентов; • подготовка отчетов собственнику. При наличии обоснованного риска Security Officer вправе временно приостановить подозрительную операцию или заблокировать скомпрометированный доступ с последующей незамедлительной эскалацией собственнику. Полномочия и независимость Security Officer напрямую подчиняется Founder и не зависит от подразделений, деятельность которых проверяет. Роль предполагает: • прямой доступ к собственнику; • доступ к необходимым системам, логам, договорам, финансовым данным и отчетности; • право инициировать внутренние проверки и расследования; • право требовать устранения критических нарушений; • право временно ограничивать доступы и операции при наличии обоснованного риска; • возможность привлекать внешних технических, финансовых, юридических и аудиторских специалистов для специализированных или независимых задач. При этом Security Officer не должен единолично контролировать активы или обладать неконтролируемым доступом ко всем системам. Контролирующая функция должна быть отделена от операционной. Что будет показателем успеха Мы не оцениваем безопасность по принципу «зарегистрировано ноль инцидентов». Для нас важнее: • критические риски выявляются до того, как превращаются в потери; • финансовые операции и доступы имеют прозрачный контрольный контур; • существенные расхождения своевременно обнаруживаются и расследуются; • критические уязвимости устраняются в разумные сроки; • доступы регулярно пересматриваются; • повторные инциденты не возникают по одной и той же причине; • собственник своевременно знает о существенных рисках и может принимать решения на основании достоверной информации.

Что предлагаем