高级第三方风险管理分析师｜Momentive Software｜远程，美国
负责 Momentive Software 云端非营利组织和协会管理平台的第三方网络安全风险管理。管理供应商评估、控制审查、审计证据、合规活动和客户漏洞通知。
描述
- 管理 Momentive Software 全球第三方供应商、应用程序和服务清单，覆盖入驻至终止的整个生命周期。
- 与网络安全工程、法务及业务负责人合作，主导供应商网络安全评估。
- 依据 NIST CSF、CIS、CMMC、GDPR、PCI DSS、SOC 2 及其他适用框架评估供应商成熟度。
- 监督供应商 SLA、RPO/RTO 承诺、漏洞通知义务和网络安全保险记录。
- 记录评估结果、建议和整改计划。
- 与内部和外部审计师协调供应商控制措施及证据收集工作。
- 为 SOC 2 Type II 和 PCI DSS 评估提供证据、文档和控制验证。
- 确保政策、标准、流程和风险处置计划完整并随时满足审计要求。
- 跟踪供应商例外情况和补偿性控制措施。
- 支持向负责自身网络安全控制的客户发出漏洞通知。
- 就风险影响、整改预期和网络安全实践向客户提供建议。
- 维护客户通知、后续活动和关闭情况的记录与指标。
- 通过将供应商风险流程与公司政策、标准和流程保持一致，强化信息安全管理体系（ISMS）。
- 参与控制措施选择、风险处置计划和网络安全控制有效性指标的制定。
- 监测影响第三方风险的新兴威胁、监管发展和行业趋势。
- 支持针对供应商依赖和韧性的灾难恢复与业务连续性规划。
- 与法务、网络安全团队和领导层合作制定降低供应商相关风险的策略。
- 通过宣传、培训和教育提升企业网络安全意识。
- 为内部和外部利益相关者提供专业的咨询支持。
- 指导同事并参与培训材料和内部文档的编写。
任职要求
- 至少五年网络安全、风险管理、审计或合规工作经验。
- 深入了解 PCI DSS、SOC 2、GDPR、GLBA、HIPAA、SOX 和 HITRUST。
- 具备评估传统及现代云环境的经验，包括 AWS、Google Cloud Platform 和 Azure。
- 深入理解 API、应用程序安全、加密、终端安全和网络安全。
- 熟悉 SIEM、入侵检测、日志管理、漏洞管理和威胁情报。
- 能够评估供应商控制措施，将其映射至相关框架，并向非技术利益相关者解释风险。
- 具备出色的项目管理、优先级安排、多任务处理和组织能力。
- 具备优秀的书面和口头沟通能力。
- 具备支持 SOC 2 Type II 和 PCI DSS 审计的经验者优先。
- 具备使用 eGRC 或 IT GRC 平台的经验者优先，例如 Jira Service Management GRC、Archer、OneTrust 或 LogicGate。
- 拥有 CISSP、CISM、CISA、CRISC、CTPRA 或 CTPRP 等认证者优先。
- 必须获准在美国工作，且无需雇主提供签证赞助。
- 必须年满 18 周岁。
福利待遇
- 医疗、牙科和视力保险。
- 401(k) 储蓄计划及公司配比。
- 灵活的计划带薪休假。
- 充足的病假。
- 包容且友好的工作环境。
- 以使命为导向的公司文化。
- 支持工作与生活平衡。
- 致力于参与社区活动。
- 雇主支付的育儿假。
- 雇主支付的短期伤残保险。
- 灵活的远程办公安排。