GRC工程师（FedRAMP 20x）
为联邦机构和国防承包商自动化收集 FedRAMP 20x 证据并优化合规工作流。 协助团队准备授权评估并维持持续监控。
描述
- 依据 CR26 和涵盖 10 个系列的 46 项 KSI 验证 FedRAMP 20x 控制措施。
- 创建并维护机器可读的安全决策记录、安全配置指南，以及符合 RFC-0024 和 OMB M-24-15 的 OSCAL、JSON 和 YAML 文档。
- 构建并维护自动化证据管道，以持续验证 KSI。
- 审查技术准备情况、评估差距，并将控制措施映射到 FedRAMP 20x A、B 和 C 类基线。
- 将 CSPM 和 GRC 工具接入机构管道，以支持协作式持续监控。
- 在资深人员指导下，协调证据提交及 3PAO 审计和独立评估的相关安排。
- 与内部及客户技术团队合作，解决多云环境中的安全差距。
- 跟踪 CR26 更新、重大变更通知，以及从 Rev5 过渡到 20x 的时间安排。
- 直接与客户工程和合规负责人合作。
- 在美国东部时间工作时段内，在资深人员指导下同时处理多项合规任务。
任职要求
- 至少两年直接技术经验，曾从事涉及 NIST SP 800-53、FedRAMP 或联邦授权生命周期的 GRC 工作。
- 基本了解 FedRAMP 20x A、B 和 C 类项目认证、CR26 规则及基于 KSI 的验证。
- 具备使用 OSCAL、JSON 或 YAML 架构创建或应用技术合规材料的实践经验。
- 实际接触过 AWS、Azure、GCP、AWS GovCloud 或 Azure Government。
- 了解 Python、Rego/OPA、Terraform 或其他脚本及策略即代码工具。
- 能够同时协调多项联邦合规任务。
- 具备良好的英语书面和口头沟通能力。
- 持有获认可的安全认证，例如 CompTIA Security+、CGRC、CAP 或 CISSP Associate。
- 持有技术类云认证，例如 AWS Solutions Architect Associate、Azure Security Engineer Associate 或 GCP Associate Cloud Engineer。
- 参与过 3PAO 审计，或支持过正在进行的机构 ATO 评估。
- 有支持 FedRAMP 持续监控（ConMon）或协作式持续监控（CCM）工作流的经验。
- 熟悉 CMMC 2.0 或 NIST SP 800-171 要求。
- 拥有可靠的高速互联网连接和专业的家庭办公环境。
- 能够在美国东部时间上午 8:00 至下午 5:00 工作，并可偶尔灵活调整。
- 愿意并能够因偶尔的现场会议、团队聚会或业务活动在当地出行。
- 目前及未来均须获准在美国工作，且无需签证担保。
- 招聘和入职期间须参加开启摄像头的实时视频面试并验证身份。
- 录用以身份核验及法律允许范围内的背景审查为前提。
福利待遇
- 通过导师指导和培训机会促进职业发展。
- 报销与该职位相关且经批准的培训及认证课程费用。
- 具有竞争力的基本薪酬、定期基于绩效评估的考核，以及奖金机会。
- 拥有良好的职业晋升机会。
- 优先远程办公的灵活安排。
- 可在任何地点工作，并与全球团队协作。