Fannie Mae ist ein staatlich gefördertes Unternehmen an der Schnittstelle von Finanzen und Immobilien. Es unterstützt das US-amerikanische Wohnungsfinanzierungssystem, indem es Hypotheken von Kreditgebern ankauft, sie zu hypothekenbesicherten Wertpapieren bündelt und Kreditgeber mit Investoren an den Kapitalmärkten verbindet. Auf diese Weise stellt Fannie Mae Liquidität für den Markt für Wohneigentum und Mietwohnungen bereit und trägt zu einer größeren Bezahlbarkeit von Wohnraum sowie zur Stabilität des Wohnungsmarktes bei. Die große, interdisziplinäre Organisation bietet Möglichkeiten, im Finanzdienstleistungsbereich für Unternehmen sowie an der Infrastruktur der Finanzierung von Wohnimmobilien mitzuwirken.
Leitender Architekt für Cybersicherheit und Technologierisiken, KI und Cloud — Fannie Mae
Fannie Mae sucht eine leitende Fachkraft für Technologierisiken, die Risiken in den Bereichen KI, Cloud und Unternehmenstechnologie hinterfragt. Die Position übersetzt technische Nachweise in Entscheidungen für die Führungsebene und in verbindliche Maßnahmen zur Risikobehebung.
Beschreibung
- Als leitende Instanz für technische Risiken in den Bereichen Unternehmensarchitektur, KI, Cloud und Engineering tätig sein.
- Unabhängige, evidenzbasierte Bewertungen und kritische Prüfungen wesentlicher Technologieentscheidungen aus der ersten Verteidigungslinie liefern.
- Mit Stakeholdern aus Cybersicherheit, Technologie, Architektur, Engineering, Daten, KI und Risikomanagement zusammenarbeiten.
- Technische Rahmenbedingungen, neu auftretende Bedrohungen und unvollständige Nachweise in klare unternehmensweite Risikopositionen überführen.
- Architektur- und Engineering-Muster, Sicherheitsannahmen, Kontrollabhängigkeiten, systemische Risiken und neu entstehende Risiken bewerten.
- Risikoanalysen für Architektur-, KI-, generative-KI-, agentische-KI-, Cloud- und Engineering-Entscheidungen leiten.
- Sicherheitsdesigns, Vertrauensgrenzen, Bedrohungsszenarien, übernommene Kontrollen, Datenflüsse, Identitäten, Berechtigungen, APIs, Cloud-Dienste, Software-Lieferketten und Resilienzabhängigkeiten prüfen.
- Risiken von KI-Systemen bewerten, einschließlich Modell- und Datenintegrität, Prompt-Injection, Offenlegung sensibler Daten, übermäßiger Eigenständigkeit, nichtmenschlicher Identitäten, Tool-Zugriffen, Modellen und Komponenten von Drittanbietern sowie agentischen Workflows.
- Kontrolldesign und Wirksamkeit anhand technischer Nachweise bewerten.
- Wiederverwendbare Risikoszenarien, Bewertungsmethoden und Mindeststandards für Nachweise entwickeln.
- Bedrohungsmodellierung und Szenarioanalysen einsetzen, um Ausfallmodi, Angriffswege, Konzentrationsrisiken und geschäftliche Auswirkungen zu identifizieren.
- Technische Risiken mit kritischen Diensten, sensiblen Daten, operativer Resilienz, regulatorischen Verpflichtungen und strategischen Initiativen verknüpfen.
- Empfehlungen entwickeln, die Entscheidungen der Unternehmensleitung ermöglichen.
- Systemische und neu entstehende Cyberrisiken in Reviews, Bewertungen, Vorfällen, Problemen, Ausnahmen, Prüfungsfeststellungen, Technologieänderungen und Bedrohungsinformationen identifizieren.
- Verantwortliche Risikobehebung vorantreiben und Nachweise zum Abschluss überprüfen.
- Perspektiven auf technische Risiken zusammenführen und Kolleginnen und Kollegen in der gesamten Risikoorganisation betreuen.
Anforderungen
- Mindestens acht Jahre zunehmend verantwortungsvolle Berufserfahrung in den Bereichen Cybersicherheit, Sicherheitsarchitektur, Cloud-Sicherheit, KI-/ML-Sicherheit oder einem verwandten Berufsfeld.
- Bachelorabschluss oder gleichwertige praktische Erfahrung in Cybersicherheit, Informatik, Ingenieurwesen, Technologie, Risikomanagement oder einer verwandten Fachrichtung.
- Nachgewiesene Erfahrung mit Sicherheitsarchitektur in Unternehmen, einschließlich Cloud-Architektur, APIs, Identitäts- und Zugriffsmanagement, Datenschutz, Anwendungs- und Plattformsicherheit sowie Risiken der Software-Lieferkette.
- Erfahrung mit der Bewertung von Risiken durch KI/ML, generative KI oder andere neu entstehende Technologien.
- Erfahrung mit Bedrohungsmodellierung, Architekturrisikobewertungen, Kontrollenbewertungen und szenariobasierten Risikoanalysen.
- Fähigkeit, Kontrolldesign und operative Wirksamkeit anhand technischer Nachweise zu bewerten.
- Erfahrung darin, technische Schwachstellen, architektonische Mängel und Kontrolllücken in geschäftliche Risiken und Entscheidungen auf Führungsebene zu übersetzen.
- Praktische Kenntnisse des NIST CSF, NIST 800-53, NIST AI RMF, NIST SSDF/SP 800-218, ISO 27001 und vergleichbarer Rahmenwerke.
- Fähigkeit, mit unvollständigen Nachweisen zu arbeiten und Annahmen sowie Unsicherheiten klar darzustellen.
- Ausgeprägte Fähigkeiten im Schreiben, Verdichten und Präsentieren für die Führungsebene.
- Fähigkeit, leitende Ingenieurinnen und Ingenieure, Architektinnen und Architekten sowie Führungskräfte konstruktiv herauszufordern.
- Erfahrung in einem komplexen, regulierten Unternehmen.
- Erfahrung in Finanzdienstleistungen, kritischer Infrastruktur oder einer anderen stark regulierten Branche ist von Vorteil.
- Erfahrung mit Public-Cloud- und Cloud-Native-Sicherheit ist von Vorteil.
- Erfahrung mit GenAI, RAG, KI-Agenten, KI-gestützten Anwendungen oder ML-Plattformen ist von Vorteil.
- Erfahrung mit sicherer Softwareentwicklung und DevSecOps ist von Vorteil.
- Erfahrung beim Aufbau wiederverwendbarer Sicherheitsarchitekturmuster, Risikoszenarien, Referenzkontrollen oder Mindestanforderungen an Nachweise ist von Vorteil.
- Erfahrung in der Analyse systemischer und neu entstehender Risiken ist von Vorteil.
- Erfahrung in der Entwicklung von Risikokennzahlen und Frühindikatoren ist von Vorteil.
- Erfahrung mit der Präsentation von Technologierisikopositionen vor Führungskräften, Governance-Gremien, Prüfern oder Aufsichtsbehörden ist von Vorteil.
- Erfahrung darin, wesentliche Technologie- oder Investitionsentscheidungen zu beeinflussen, ist von Vorteil.
- Erfahrung in der Betreuung oder im Mentoring von Fachkräften für Cyber- oder Technologierisiken auf Senior-Ebene ist von Vorteil.
- Zertifizierungen wie CISSP, CCSP, CISM, CRISC, SABSA oder relevante Zertifikate für Cloud- und Sicherheitsarchitektur sind von Vorteil.
- Erfahrung mit unternehmensweiten GRC-Plattformen und Workflows ist von Vorteil.
Zusatzleistungen
- Berechtigung für ein Incentive-Programm.
- Gesundheitsleistungen.
- Lebensversicherungsleistungen.
- Freiwillige Zusatzleistungen für den Lebensstil.
- Zusätzliche Leistungen und Vergünstigungen zur Unterstützung des körperlichen, mentalen, emotionalen und finanziellen Wohlbefindens.
- Flexible Arbeitsregelung durch das Flex-Programm.