Fannie Mae est une entreprise soutenue par le gouvernement qui opère à l’intersection de la finance et de l’immobilier. Elle soutient le système américain de financement du logement en achetant des prêts hypothécaires auprès de prêteurs, en les regroupant dans des titres adossés à des créances hypothécaires et en contribuant à mettre en relation les prêteurs avec les investisseurs des marchés de capitaux. Grâce à cette activité, Fannie Mae fournit des liquidités aux marchés de l’achat de logements et de la location, tout en favorisant une plus grande accessibilité au logement et la stabilité globale du marché. Sa vaste organisation pluridisciplinaire offre des possibilités de contribuer aux services financiers interentreprises et aux infrastructures qui sous-tendent le financement de l’immobilier résidentiel.
Architecte principal en cybersécurité et risques technologiques, IA et cloud — Fannie Mae
Fannie Mae recherche un architecte principal des risques technologiques pour challenger les risques liés à l’IA, au cloud et aux technologies d’entreprise. Le poste traduit les éléments techniques en décisions exécutives et en mesures correctives responsabilisées.
Description
- Agir comme autorité technique senior pour les risques liés à l’architecture d’entreprise, à l’IA, au cloud et à l’ingénierie.
- Fournir un challenge indépendant et fondé sur les preuves, en première ligne, pour les décisions technologiques majeures.
- Collaborer avec les parties prenantes de la cybersécurité, de la technologie, de l’architecture, de l’ingénierie, des données, de l’IA et des risques.
- Transformer les conditions techniques, les menaces émergentes et les éléments incomplets en positions claires sur les risques d’entreprise.
- Évaluer les modèles d’architecture et d’ingénierie, les hypothèses de sécurité, les dépendances entre contrôles, les risques systémiques et les risques émergents.
- Piloter l’analyse des risques pour les décisions d’architecture, d’IA et d’IA générative, d’IA agentique, de cloud et d’ingénierie.
- Examiner la conception de la sécurité, les limites de confiance, les scénarios de menace, les contrôles hérités, les flux de données, l’identité, les privilèges, les API, les services cloud, les chaînes d’approvisionnement logicielles et les dépendances de résilience.
- Évaluer les risques des systèmes d’IA liés à l’intégrité des modèles et des données, à l’injection de prompts, à l’exposition de données sensibles, à l’autonomie excessive, aux identités non humaines, à l’accès aux outils, aux modèles et composants tiers et aux flux de travail agentiques.
- Évaluer la conception et l’efficacité des contrôles à partir de preuves techniques.
- Créer des scénarios de risque, des méthodes d’évaluation et des normes minimales de preuve réutilisables.
- Utiliser la modélisation des menaces et l’analyse de scénarios pour identifier les modes de défaillance, les chemins d’attaque, les risques de concentration et les conséquences métier.
- Relier les expositions techniques aux services critiques, aux données sensibles, à la résilience opérationnelle, aux obligations réglementaires et aux initiatives stratégiques.
- Élaborer des recommandations permettant les décisions de la direction générale.
- Identifier les cyberrisques systémiques et émergents dans les revues, évaluations, incidents, problèmes, exceptions, constats d’audit, évolutions technologiques et renseignements sur les menaces.
- Piloter les remédiations avec des responsables désignés et vérifier les éléments de clôture.
- Intégrer les perspectives de risque technique et accompagner les collègues dans l’ensemble de l’organisation des risques.
Exigences
- Au moins huit ans d’expérience progressive en cybersécurité, architecture de sécurité, sécurité cloud, sécurité de l’IA/ML ou dans un domaine professionnel connexe.
- Diplôme de niveau licence ou expérience pratique équivalente en cybersécurité, informatique, ingénierie, technologie, risques ou discipline connexe.
- Expertise avérée en architecture de sécurité d’entreprise couvrant l’architecture cloud, les API, l’identité et les accès, la protection des données, la sécurité des applications et des plateformes et les risques de la chaîne d’approvisionnement logicielle.
- Expérience dans l’évaluation des risques liés à l’IA/ML, à l’IA générative ou à d’autres technologies émergentes.
- Expérience de la modélisation des menaces, des évaluations des risques d’architecture, des évaluations de contrôles et de l’analyse des risques par scénarios.
- Capacité à évaluer la conception des contrôles et leur efficacité opérationnelle à partir de preuves techniques.
- Expérience dans la traduction des vulnérabilités techniques, faiblesses architecturales et lacunes de contrôle en exposition métier et en décisions de risque au niveau exécutif.
- Connaissance pratique du NIST CSF, du NIST 800-53, du NIST AI RMF, du NIST SSDF/SP 800-218, de l’ISO 27001 et de référentiels comparables.
- Capacité à travailler avec des éléments incomplets en indiquant clairement les hypothèses et les incertitudes.
- Excellentes capacités de rédaction exécutive, de synthèse et de présentation.
- Capacité à challenger de manière constructive des ingénieurs seniors, des architectes et des dirigeants.
- Expérience dans une entreprise complexe et réglementée.
- Une expérience dans les services financiers, les infrastructures critiques ou un autre secteur fortement réglementé est souhaitée.
- Une expérience de la sécurité des clouds publics et des environnements cloud-native est souhaitée.
- Une expérience de GenAI, RAG, agents d’IA, applications utilisant l’IA ou plateformes de ML est souhaitée.
- Une expérience du développement logiciel sécurisé et du DevSecOps est souhaitée.
- Une expérience de la mise en place de modèles réutilisables d’architecture de sécurité, de scénarios de risque, de contrôles de référence ou d’exigences minimales de preuve est souhaitée.
- Une expérience de l’analyse des risques systémiques et émergents est souhaitée.
- Une expérience du développement de métriques de risque et d’indicateurs avancés est souhaitée.
- Une expérience de la présentation de positions sur les risques technologiques à des dirigeants, comités de gouvernance, auditeurs ou régulateurs est souhaitée.
- Une expérience de l’influence sur des décisions importantes en matière de technologie ou d’investissement est souhaitée.
- Une expérience de l’accompagnement ou du mentorat de professionnels seniors des cyberrisques ou de la technologie est souhaitée.
- Des certifications telles que CISSP, CCSP, CISM, CRISC, SABSA ou des titres pertinents en architecture cloud et sécurité sont souhaitées.
- Une expérience des plateformes et flux de travail de GRC d’entreprise est souhaitée.
Avantages
- Éligibilité à un programme d’intéressement.
- Avantages liés à la santé.
- Avantages liés à la vie.
- Avantages volontaires liés au mode de vie.
- Avantages et prestations supplémentaires favorisant le bien-être physique, mental, émotionnel et financier.
- Organisation flexible du travail dans le cadre du programme Flex.