Fannie Mae to przedsiębiorstwo utworzone przy wsparciu rządu, działające na styku finansów i rynku nieruchomości. Wspiera amerykański system finansowania mieszkań, kupując kredyty hipoteczne od kredytodawców, łącząc je w hipoteczne papiery wartościowe oraz pomagając łączyć kredytodawców z inwestorami na rynkach kapitałowych. Dzięki tej działalności Fannie Mae zapewnia płynność rynkom zakupu i najmu mieszkań, wspierając jednocześnie szerszą dostępność mieszkań oraz stabilność rynku. Duża, interdyscyplinarna organizacja oferuje możliwość udziału w rozwoju usług finansowych dla przedsiębiorstw i infrastruktury stojącej za finansowaniem nieruchomości mieszkaniowych.
Główny architekt ds. cyberbezpieczeństwa i ryzyka technologicznego, AI i chmury — Fannie Mae
Fannie Mae poszukuje głównego architekta ryzyka technologicznego do oceny ryzyka związanego z AI, chmurą i technologiami korporacyjnymi. Rola polega na przekładaniu dowodów technicznych na decyzje kadry kierowniczej i rozliczalne działania naprawcze.
Opis
- Pełnić funkcję starszego eksperta ds. ryzyka technicznego w obszarze architektury korporacyjnej, AI, chmury i inżynierii.
- Zapewniać niezależną, opartą na dowodach kontrolę pierwszej linii dla istotnych decyzji technologicznych.
- Współpracować z interesariuszami ds. cyberbezpieczeństwa, technologii, architektury, inżynierii, danych, AI i ryzyka.
- Przekładać warunki techniczne, pojawiające się zagrożenia i niepełne dowody na jasne stanowiska dotyczące ryzyka korporacyjnego.
- Oceniać wzorce architektoniczne i inżynieryjne, założenia bezpieczeństwa, zależności mechanizmów kontrolnych oraz ryzyka systemowe i pojawiające się.
- Prowadzić analizę ryzyka decyzji dotyczących architektury, AI i generatywnej AI, agentowej AI, chmury oraz inżynierii.
- Weryfikować projekt bezpieczeństwa, granice zaufania, scenariusze zagrożeń, odziedziczone mechanizmy kontrolne, przepływy danych, tożsamość, uprawnienia, interfejsy API, usługi chmurowe, łańcuchy dostaw oprogramowania i zależności odporności.
- Oceniać ryzyko systemów AI związane z integralnością modeli i danych, prompt injection, ujawnieniem danych wrażliwych, nadmierną autonomią, tożsamościami niebędącymi ludźmi, dostępem do narzędzi, modelami i komponentami stron trzecich oraz przepływami pracy agentów.
- Oceniać projekt i skuteczność mechanizmów kontrolnych na podstawie dowodów technicznych.
- Tworzyć wielokrotnego użytku scenariusze ryzyka, metody oceny i minimalne standardy dowodowe.
- Wykorzystywać modelowanie zagrożeń i analizę scenariuszy do identyfikowania trybów awarii, ścieżek ataku, ryzyka koncentracji i konsekwencji biznesowych.
- Łączyć ekspozycje techniczne z usługami krytycznymi, danymi wrażliwymi, odpornością operacyjną, obowiązkami regulacyjnymi i inicjatywami strategicznymi.
- Opracowywać rekomendacje umożliwiające podejmowanie decyzji przez kadrę kierowniczą.
- Identyfikować systemowe i pojawiające się ryzyko cybernetyczne podczas przeglądów, ocen, incydentów, obsługi problemów, wyjątków, ustaleń audytu, zmian technologicznych i analiz zagrożeń.
- Prowadzić rozliczalne działania naprawcze i weryfikować dowody zamknięcia.
- Łączyć perspektywy ryzyka technicznego i rozwijać kompetencje współpracowników w szerszej organizacji ryzyka.
Wymagania
- Co najmniej osiem lat doświadczenia o rosnącym zakresie odpowiedzialności w cyberbezpieczeństwie, architekturze bezpieczeństwa, bezpieczeństwie chmury, bezpieczeństwie AI/ML lub pokrewnej dziedzinie zawodowej.
- Dyplom licencjata lub równoważne doświadczenie praktyczne w cyberbezpieczeństwie, informatyce, inżynierii, technologii, zarządzaniu ryzykiem lub pokrewnej dziedzinie.
- Udokumentowana znajomość korporacyjnej architektury bezpieczeństwa obejmującej architekturę chmurową, interfejsy API, tożsamość i dostęp, ochronę danych, bezpieczeństwo aplikacji i platform oraz ryzyko łańcucha dostaw oprogramowania.
- Doświadczenie w ocenie ryzyka AI/ML, generatywnej AI lub innych nowych technologii.
- Doświadczenie w modelowaniu zagrożeń, ocenach ryzyka architektury, ocenie mechanizmów kontrolnych i scenariuszowej analizie ryzyka.
- Umiejętność oceny projektu i skuteczności operacyjnej mechanizmów kontrolnych na podstawie dowodów technicznych.
- Doświadczenie w przekładaniu technicznych podatności, słabości architektury i luk w kontrolach na ekspozycję biznesową oraz decyzje dotyczące ryzyka na poziomie kadry kierowniczej.
- Praktyczna znajomość NIST CSF, NIST 800-53, NIST AI RMF, NIST SSDF/SP 800-218, ISO 27001 i porównywalnych ram.
- Umiejętność pracy z niepełnymi dowodami przy jasnym określaniu założeń i niepewności.
- Bardzo dobre umiejętności pisania dla kadry kierowniczej, syntezy informacji i prezentacji.
- Umiejętność konstruktywnego kwestionowania decyzji starszych inżynierów, architektów i osób zarządzających.
- Doświadczenie w pracy w złożonym, regulowanym przedsiębiorstwie.
- Doświadczenie w usługach finansowych, infrastrukturze krytycznej lub innej silnie regulowanej branży będzie dodatkowym atutem.
- Doświadczenie w bezpieczeństwie chmury publicznej i środowisk chmurowych będzie dodatkowym atutem.
- Doświadczenie z GenAI, RAG, agentami AI, aplikacjami wykorzystującymi AI lub platformami ML będzie dodatkowym atutem.
- Doświadczenie w bezpiecznym tworzeniu oprogramowania i DevSecOps będzie dodatkowym atutem.
- Doświadczenie w tworzeniu wielokrotnego użytku wzorców architektury bezpieczeństwa, scenariuszy ryzyka, kontroli referencyjnych lub wymagań dotyczących minimalnych dowodów będzie dodatkowym atutem.
- Doświadczenie w analizie ryzyka systemowego i pojawiającego się będzie dodatkowym atutem.
- Doświadczenie w opracowywaniu mierników ryzyka i wskaźników wyprzedzających będzie dodatkowym atutem.
- Doświadczenie w prezentowaniu stanowisk dotyczących ryzyka technologicznego kadrze kierowniczej, komitetom zarządzającym, audytorom lub organom regulacyjnym będzie dodatkowym atutem.
- Doświadczenie w wywieraniu wpływu na istotne decyzje technologiczne lub inwestycyjne będzie dodatkowym atutem.
- Doświadczenie w szkoleniu lub mentoringu starszych specjalistów ds. ryzyka cybernetycznego lub technologii będzie dodatkowym atutem.
- Certyfikaty CISSP, CCSP, CISM, CRISC, SABSA lub odpowiednie kwalifikacje z zakresu chmury i architektury bezpieczeństwa będą dodatkowym atutem.
- Doświadczenie z korporacyjnymi platformami i przepływami pracy GRC będzie dodatkowym atutem.
Benefity
- Możliwość udziału w programie motywacyjnym.
- Świadczenia zdrowotne.
- Świadczenia związane z ubezpieczeniem na życie.
- Dobrowolne świadczenia związane ze stylem życia.
- Dodatkowe świadczenia i udogodnienia wspierające dobrostan fizyczny, psychiczny, emocjonalny i finansowy.
- Elastyczny model pracy w ramach programu Flex.