高級第三方風險管理分析師｜Momentive Software｜遠端，美國
負責 Momentive Software 雲端非營利組織與協會管理平台的第三方網路安全風險管理。管理供應商評估、控制措施審查、稽核證據、合規活動與客戶漏洞通知。
說明
- 管理 Momentive Software 全球第三方供應商、應用程式與服務清單，涵蓋從導入至終止的整個生命週期。
- 與網路安全工程、法務及業務負責人合作，主導供應商網路安全評估。
- 依據 NIST CSF、CIS、CMMC、GDPR、PCI DSS、SOC 2 及其他適用框架評估供應商成熟度。
- 監督供應商 SLA、RPO/RTO 承諾、漏洞通知義務與網路安全保險紀錄。
- 記錄評估結果、建議與補救計畫。
- 與內部及外部稽核人員協調供應商控制措施及證據蒐集工作。
- 為 SOC 2 Type II 與 PCI DSS 評估提供證據、文件及控制措施驗證。
- 確保政策、標準、程序與風險處置計畫完整並隨時可供稽核。
- 追蹤供應商例外情況與補償性控制措施。
- 支援向負責自身網路安全控制的客戶發出漏洞通知。
- 就風險影響、補救預期與網路安全實務向客戶提供建議。
- 維護客戶通知、後續活動與結案情況的紀錄及指標。
- 透過使供應商風險流程與公司政策、標準及程序保持一致，強化資訊安全管理系統（ISMS）。
- 參與控制措施選擇、風險處置計畫與網路安全控制措施有效性指標的制定。
- 監控影響第三方風險的新興威脅、法規發展與產業趨勢。
- 支援針對供應商依賴與韌性的災難復原及業務持續性規劃。
- 與法務、網路安全團隊及領導階層合作制定降低供應商相關風險的策略。
- 透過宣導、培訓與教育提升企業網路安全意識。
- 為內部及外部利害關係人提供專業的諮詢支援。
- 指導同事並參與培訓教材與內部文件的編寫。
職位要求
- 至少五年網路安全、風險管理、稽核或合規工作經驗。
- 深入了解 PCI DSS、SOC 2、GDPR、GLBA、HIPAA、SOX 與 HITRUST。
- 具備評估傳統及現代雲端環境的經驗，包括 AWS、Google Cloud Platform 與 Azure。
- 深入理解 API、應用程式安全、加密、端點安全與網路安全。
- 熟悉 SIEM、入侵偵測、日誌管理、漏洞管理與威脅情報。
- 能夠評估供應商控制措施，將其對應至相關框架，並向非技術利害關係人說明風險。
- 具備出色的專案管理、優先順序安排、多工處理與組織能力。
- 具備優異的書面與口頭溝通能力。
- 具備支援 SOC 2 Type II 與 PCI DSS 稽核經驗者優先。
- 具備使用 eGRC 或 IT GRC 平台經驗者優先，例如 Jira Service Management GRC、Archer、OneTrust 或 LogicGate。
- 擁有 CISSP、CISM、CISA、CRISC、CTPRA 或 CTPRP 等認證者優先。
- 必須獲准在美國工作，且不需要雇主提供簽證贊助。
- 必須年滿 18 歲。
福利待遇
- 醫療、牙科與視力保險。
- 401(k) 儲蓄計畫及公司配比。
- 彈性的計畫帶薪休假。
- 優渥的病假。
- 包容且友善的工作環境。
- 以使命為導向的公司文化。
- 支持工作與生活平衡。
- 致力於參與社區活動。
- 雇主支付的育嬰假。
- 雇主支付的短期失能保險。
- 彈性的遠端工作安排。