Governance Risk Compliance (GRC) Manager

Über Antithesis

Wir bieten eine Plattform, die Engineering-Teams dabei hilft, Fehler zu identifizieren und zu beheben, die traditionelle Testansätze übersehen. Antithesis führt Ihr gesamtes System in einer deterministischen Simulation aus, bricht es auf jede erdenkliche Weise und liefert Ihnen die Ursachenanalyse sowie eine perfekte Reproduktion - keine flüchtigen Tests, keine falschen Positiven, kein "funktioniert auf meinem Rechner". Dies ermöglicht es Engineering-Teams, schneller zu debuggen und mit größerem Vertrauen zu versenden.

Die Zunahme von KI-generiertem Code hat unsere Arbeit wichtiger denn je gemacht. Agenten können Code schneller schreiben als jeder Mensch - aber schnellerer Code ist nicht besserer Code, wenn er fehlerhaft ist, in der Überprüfung feststeckt oder Probleme unentdeckt bleiben. Der Verifizierungsengpass ist real und wächst. Genau dieses Problem existiert, um gelöst zu werden.

Wir sind gut finanziert, tief technisch und bauen eine Plattform, die eines der komplexesten, aber wichtigsten Probleme in der modernen Softwaretechnik angeht. Wenn sich das für Sie spannend anhört, lesen Sie weiter.

Über die Rolle

Wir suchen unseren ersten dedizierten GRC-Mitarbeiter. Dies ist eine verantwortungsvolle, praktische Rolle. Sie werden unser Compliance-Programm von Anfang bis Ende aufbauen und betreiben - nicht als Unterstützungsfunktion, sondern als Kernbestandteil, wie wir das Vertrauen unserer Kunden gewinnen und erhalten.

In einem Unternehmen wie unserem, wo Unternehmenskunden uns mit ihrer sensibelsten Infrastruktur vertrauen müssen, ist GRC sowohl eine Verkaufsfunktion als auch eine operative.

Ein Hinweis dazu, was wir mit "Verantwortung" meinen: Dies ist keine Rolle, in der Sie eine Checkliste pflegen, die jemand anderes erstellt hat. Sie werden den GRC-Kalender, die Vanta-Instanz, die Richtlinienbibliothek, die Prüfungsnachweise und die Warteschlange der Sicherheitsfragebögen verwalten. Wenn etwas in unserer Compliance-Position defekt ist, liegt es an Ihnen, dies zu beheben.

Dies ist eine Rolle für einen einzelnen Mitarbeiter. Es ist keine CISO-Rolle, keine Sicherheitsingenieurrolle und kein Penetrationstester. Sie werden nicht für die Sicherheitsarchitektur oder das Schwachstellenmanagement verantwortlich sein - aber Sie benötigen starke Beziehungen zu den Personen, die dies tun, um sicherzustellen, dass diese Programme rechtzeitig Ihre Compliance-Arbeit unterstützen.

Diese Rolle wird zunächst an den VP, Strategische Initiativen innerhalb des Operationsteams berichten, mit einer starken indirekten Verbindung zum Leiter der Infrastruktur. Innerhalb der ersten 3-6 Monate werden wir gemeinsam die langfristige Berichtstruktur für diese Rolle identifizieren. Diese Rolle wird eng mit den Abteilungen Operations, Recht, Personal (HR), Engineering und IT zusammenarbeiten.

Was Sie besitzen werden

• SOC 2 & Audit Management
  • Besitzen Sie unser SOC 2-Audit von Anfang bis Ende, einschließlich des Übergangs von einem zeitlich begrenzten zu einem rollierenden 12-Monats-Fenster.
  • Seien Sie der primäre Ansprechpartner für unsere externen Prüfer.
  • Pflegen Sie das Nachweisrepository und stellen Sie sicher, dass Kontrollen dokumentiert, getestet und aktuell sind.
  • Besitzen und pflegen Sie Vanta als das System der Aufzeichnungen für unser Compliance-Programm.
• Richtlinien & Kontrollen
  • Pflegen und verbessern Sie kontinuierlich unsere Richtlinienbibliothek - halten Sie die Richtlinien genau, lesbar und tatsächlich befolgt.
  • Führen Sie den GRC-Kalender: Tischübungen, Vorbereitung von Sicherheitsausschusssitzungen, Schulungen zur Sicherheitsbewusstseinsbildung und jährliche Überprüfungen.
  • Identifizieren Sie Kontrolllücken und treiben Sie die Behebung in Engineering, IT, HR und Operations voran.
• Trust Center & Kundenorientierte Compliance
  • Besitzen und pflegen Sie unser Trust Center.
  • Verwalten Sie die Warteschlange der eingehenden Sicherheitsfragebögen für den Unternehmensverkauf - bearbeiten Sie diese schnell und genau mit einer verkaufsorientierten Denkweise, um Geschäfte zu beschleunigen.
  • Seien Sie die Anlaufstelle für Unternehmensinteressenten, die unser Sicherheits- und Compliance-Engagement verstehen müssen.
  • Unterstützen Sie Sicherheitsüberprüfungen von Anbietern auf beiden Seiten: Bewerten Sie Anbieter, die wir an Bord nehmen, und nehmen Sie an Kundenüberprüfungen teil.
• Risikomanagement
  • Pflegen Sie das Risikoregister und leiten Sie regelmäßige Risikobewertungen.
  • Identifizieren, dokumentieren und heben Sie Risiken in Bezug auf Personen, Anbieter und Infrastruktur hervor.
• Zusätzlich
  • Unterstützen Sie Penetrationstests, Schwachstellenmanagement und Sicherheitsarchitektur - Engineering und Infra leiten diese, aber Sie halten sie auf Kurs und stellen sicher, dass Ergebnisse verfolgt und behoben werden.
  • Bereiten Sie den Grundstein für zukünftige Rahmenwerke, wenn das Geschäft es erfordert: z.B. ISO 27001, GDPR, FedRAMP.
  • Unterstützen Sie rechtliche und kommerzielle Verträge zu sicherheitsrelevanten Klauseln und DPAs.
  • Unterstützen Sie die Entwicklung von HR-Richtlinien in Zusammenarbeit mit dem Leiter der Personalabteilung, einschließlich sicherheitsrelevanter Mitarbeiterrichtlinien, akzeptabler Nutzung und Onboarding-/Offboarding-Verfahren.

Mit wem Sie arbeiten werden

Sie werden regelmäßig mit Engineering & Infrastructure, Recht, HR, Finanzen und Operations interagieren. Sie werden Antithesis extern gegenüber Unternehmenskäufern, Prüfern und sicherheitsbewussten Interessenten vertreten.

Anforderungen

Erforderlich

• 3-5 Jahre Erfahrung in GRC, Compliance oder IT-Audit, idealerweise in einer SaaS- oder hoch technischen Umgebung.
• Praktische Erfahrung mit mehreren SOC 2-Audits - nicht beratend, nicht angrenzend, sondern im Raum mit den Prüfern und im Besitz der Nachweise.
• Fähigkeit, tief in unsere technische Architektur einzutauchen, zu verstehen, was wir tun und warum - einschließlich maßgeschneiderter Funktionen unserer Umgebung wie NixOS, SRE, Sicherheitsengineering, Ingenieurwesen oder gleichwertiger technischer Hintergrund (Ausbildung und/oder Erfahrung).
• Erfahrung mit AWS- und GCP-Infrastruktur sowie Infrastruktur als Code (IaC).
• Starke schriftliche Kommunikation (einschließlich kundenorientierter Kommunikation) und die Fähigkeit, Richtlinien zu schreiben, nicht nur zu überprüfen.
• Fähigkeit, schnell in einer schnelllebigen, wachstumsstarken Umgebung zu lernen.

Wünschenswert

• Relevante Zertifizierungen: CISA, CISSP, CISM, CCSK oder ähnlich.
• Vertrautheit mit ISO 27001, GDPR oder FedRAMP-Rahmenwerken.
• Erfahrung in der Unterstützung von Rechtsabteilungen bei DPAs oder kommerziellen Sicherheitsplänen.
• Erfahrung in der Verwaltung oder intensiven Nutzung eines GRC-Tools (Vanta bevorzugt).