Momentive Software développe des logiciels interentreprises destinés aux organisations à but non lucratif et aux associations. Sa gamme de produits couvre la gestion des associations, la collecte de fonds, la gestion d’événements, la gestion de l’apprentissage, les opérations financières et l’analyse des données. Elle aide ainsi les organisations guidées par une mission à coordonner leurs activités, à mobiliser leurs membres et leurs donateurs et à bâtir des communautés plus fortes. L’entreprise est un employeur important du secteur des logiciels, avec un effectif déclaré de 1 001 à 5 000 employés.
Analyste senior en gestion des risques liés aux tiers | Momentive Software | Télétravail, États-Unis
Pilotez la gestion des risques de cybersécurité liés aux tiers pour la plateforme cloud de gestion des organisations à but non lucratif et des associations de Momentive Software. Gérez les évaluations des fournisseurs, les revues des contrôles, les preuves d’audit, les activités de conformité et les notifications de vulnérabilités aux clients.
Description
- Gérer l’inventaire mondial des fournisseurs, applications et services tiers de Momentive Software, de leur intégration à leur résiliation.
- Piloter les évaluations de cybersécurité des fournisseurs en partenariat avec l’ingénierie de la cybersécurité, le service juridique et les responsables métier.
- Évaluer la maturité des fournisseurs selon le NIST CSF, le CIS, le CMMC, le GDPR, le PCI DSS, le SOC 2 et les autres référentiels applicables.
- Superviser les SLA des fournisseurs, les engagements RPO/RTO, les obligations de notification des violations et les dossiers d’assurance cybersécurité.
- Consigner les résultats des évaluations, les recommandations et les plans de remédiation.
- Coordonner avec les auditeurs internes et externes les contrôles des fournisseurs et la collecte des preuves.
- Fournir les preuves, la documentation et la validation des contrôles pour les évaluations SOC 2 Type II et PCI DSS.
- Maintenir les politiques, normes, procédures et plans de traitement des risques complets et prêts pour l’audit.
- Suivre les exceptions des fournisseurs et les contrôles compensatoires.
- Soutenir les notifications de vulnérabilités destinées aux clients responsables de leurs propres contrôles de cybersécurité.
- Conseiller les clients sur l’impact des risques, les attentes en matière de remédiation et les pratiques de cybersécurité.
- Tenir à jour les dossiers et les indicateurs relatifs aux notifications des clients, aux actions de suivi et aux clôtures.
- Renforcer le SMSI en alignant les processus de gestion des risques fournisseurs sur les politiques, normes et procédures de l’entreprise.
- Contribuer à la sélection des contrôles, aux plans de traitement des risques et aux indicateurs d’efficacité des contrôles de cybersécurité.
- Surveiller les menaces émergentes, les évolutions réglementaires et les tendances du secteur qui affectent les risques liés aux tiers.
- Soutenir la planification de la reprise après sinistre et de la continuité d’activité pour les dépendances aux fournisseurs et la résilience.
- Collaborer avec le service juridique, la cybersécurité et la direction aux stratégies de réduction des risques liés aux fournisseurs.
- Promouvoir la sensibilisation de l’entreprise à la cybersécurité par la communication, la formation et l’éducation.
- Fournir un soutien professionnel et consultatif aux parties prenantes internes et externes.
- Accompagner les collègues et contribuer aux supports de formation et à la documentation interne.
Exigences
- Au moins cinq ans d’expérience en cybersécurité, gestion des risques, audit ou conformité.
- Connaissances avancées du PCI DSS, du SOC 2, du GDPR, du GLBA, de l’HIPAA, de la SOX et d’HITRUST.
- Expérience de l’évaluation d’environnements cloud hérités et modernes, notamment AWS, Google Cloud Platform et Azure.
- Solide compréhension des API, de la sécurité des applications, du chiffrement, de la sécurité des terminaux et de la sécurité des réseaux.
- Connaissance du SIEM, de la détection des intrusions, de la gestion des journaux, de la gestion des vulnérabilités et du renseignement sur les menaces.
- Capacité à évaluer les contrôles des fournisseurs, à les mettre en correspondance avec des référentiels et à expliquer les risques aux parties prenantes non techniques.
- Solides compétences en gestion de projet, priorisation, gestion de tâches multiples et organisation.
- Excellentes compétences en communication écrite et orale.
- Une expérience du soutien aux audits SOC 2 Type II et PCI DSS est souhaitée.
- Une expérience des plateformes eGRC ou IT GRC telles que Jira Service Management GRC, Archer, OneTrust ou LogicGate est souhaitée.
- Des certifications telles que CISSP, CISM, CISA, CRISC, CTPRA ou CTPRP sont souhaitées.
- Être autorisé à travailler aux États-Unis sans parrainage est requis.
- Avoir au moins 18 ans est requis.
Avantages
- Couverture médicale, dentaire et optique.
- Plan d’épargne 401(k) avec abondement de l’entreprise.
- Congés payés planifiés et flexibles.
- Congé maladie généreux.
- Environnement de travail inclusif et accueillant.
- Culture d’entreprise guidée par une mission.
- Soutien à l’équilibre entre vie professionnelle et vie privée.
- Engagement en faveur de la participation à la vie de la communauté.
- Congé parental payé par l’employeur.
- Couverture de l’invalidité de courte durée payée par l’employeur.
- Flexibilité du travail à distance.