Information Security Officer

Standort: UK oder Deutschland

Anstellungsart: Vollzeit

Standorttyp: Remote

Abteilung: Finanzen & Betrieb

Wir suchen einen Information Security Officer bei Ona. Sie berichten an unseren Leiter für Finanzen und Betrieb und sind verantwortlich für das gesamte Sicherheits- und Compliance-Programm von Ona - einschließlich der Architektur, Automatisierungen und Vertrauensinfrastruktur, die komplexe Partnerschaften mit einigen der größten Unternehmen der Welt nahtlos ermöglichen.

Wer wir sind: Wir sind eine talentierte Gruppe von Menschen, die transformieren, wie Software erstellt wird, und arbeiten daran, jedes Unternehmen, jedes Team und jede Einzelperson in einer softwareorientierten Welt zu stärken. Wir haben die Produkt-Markt-Passung gefunden und skalieren mit hoher Geschwindigkeit auf eine wiederholbare Markteinführungsstrategie. Wir legen großen Wert auf unsere Arbeit, und für viele von uns ist der Aufbau von Ona unsere Lebensaufgabe. Unsere Betriebsprinzipien sind eine ehrliche Darstellung davon, wie wir Beziehungen aufbauen und Entscheidungen treffen. Wir wählen Kollegen sorgfältig basierend auf Verdienst und ihrer authentischen Übereinstimmung mit diesen Prinzipien aus.

Wenn Sie von dem oben Genannten begeistert sind, würden wir uns freuen, wenn Sie sich bewerben!

Rollenverantwortlichkeiten:

• Die SOC 2-Compliance-Position von Ona für die KI-Ära zukunftssicher machen: kontinuierliche Kontrollüberwachung, Audit-Bereitschaft, Richtlinienarchitektur und Programmweiterentwicklung, während sich unser Produkt und Bedrohungsmodell ändern.
• Das Vertrauen von Ona so weit erhöhen, dass es hauptsächlich selbstbedienbar wird: Kunden erhalten Antworten auf Abruf, Interessenten konvertieren schneller, und das Team verbringt keine Zeit mit Fragen, die die Dokumentation bereits beantwortet.
• GDPR und CCPA über den gesamten Datenlebenszyklus betreuen und der sich verändernden Compliance-Landschaft voraus sein, damit die Datenschutzposition von Ona führt, anstatt ihr nachzulaufen.
• IAM auf Null-Touch bringen und jeden Vorfall von Infrastrukturwarnungen bis zur technischen Diagnose durchlaufen.
• Eine abfragbare Schicht über die gesamte Compliance-Position von Ona schaffen, auf die jedes interne Team zugreifen kann, ohne über Sie zu gehen.

Am Ende Ihrer ersten 30 Tage werden Sie:

• Das SOC 2-Programm von Tag eins an geleitet haben: Ihren Angriffsplan veröffentlicht haben, mit Dokumentation zum Kontrollentwurf und Auswahlmaterialien, die vor dem 10. August auf Kurs sind.
• Eine schriftliche Bewertung darüber geliefert haben, wie die bevorstehenden Produkt- und Infrastrukturänderungen von Ona die SOC 2-Kontrollumgebung beeinflussen - spezifische Kontrollen benannt, spezifische Risiken gekennzeichnet.
• Eine unabhängige schriftliche Compliance-Meinung zu einem aktuellen technischen Artefakt ohne Unterstützung von PDE erstellt haben.
• Die externen Sicherheitsdokumente in etwas umgewandelt haben, das die Fragen der Interessenten beantwortet, bevor sie gestellt werden.
• Mindestens einen hochgradigen Compliance-Prozess automatisiert haben - oder einen sequenzierten Build-Plan dafür geliefert haben - wobei IAM als primärer Kandidat dient.

Über Sie:

• Sie arbeiten im Einklang mit unseren Betriebsprinzipien.
• Sie betrachten Compliance als Vermögenswert.
• Sie haben aus erster Hand gesehen, welchen Einfluss die Sicherheitslage auf komplexe Unternehmensgeschäfte hat.
• Sie haben die Fähigkeit, jede Frage und Anforderung, die ein stark regulierter Interessent erheben wird, vorherzusehen.
• Ihre Dokumentation ist so einfach wie umfassend, und Sie sind außergewöhnlich darin, Prozesse zu automatisieren, um es allen zu erleichtern.
• Ihre Proaktivität beschleunigt nicht nur die Compliance-Phase, sondern beseitigt sie im Wesentlichen.
• Sicherheit ist in Ihren Händen etwas, auf das das Vertriebsteam angewiesen ist, anstatt darum herumzuarbeiten.
• Sie nutzen KI und Automatisierung.
• Sie betrachten Automatisierung als Standard und manuelle Arbeit als Ausnahme.
• Sie bringen technische Sprachkenntnisse in alles ein, was Sie besitzen.
• Sie waren in einem früheren Leben Senior Software Engineer.
• Sie können technische Artefakte lesen und unabhängige Urteile daraus bilden.
• Sie haben ein starkes mentales Modell, das es Ihnen ermöglicht, architektonische und Produktänderungen leicht zu verfolgen und zu verstehen, was eine bestimmte Änderung für Ihr Bedrohungsmodell bedeutet.
• Wenn Sie die Antwort nicht wissen, wissen Sie, wie Sie sie finden können.
• Der Unterschied zwischen Sicherheitsbeauftragtem und Sicherheitsingenieur ist ein Spektrum, und Sie schließen es durch starken Kontext und Neugier.

Zusätzlich suchen wir jemanden mit den meisten der folgenden Qualifikationen:

• Ein SOC 2 Type II-Programm end-to-end geleitet - die Kontrollen, die Beweise, den Auditor, die Roadmap.
• Praktische AWS-Sicherheitskenntnisse: zuerst triagieren, dann eskalieren.
• In einem technischen Produktunternehmen gearbeitet, wo das Verständnis des Produkts Teil des Jobs war.
• Zugriffsmanagement auf organisatorischer Ebene mit einer nachgewiesenen Neigung zur Automatisierung verwaltet.
• Mit Compliance-Automatisierungstools gearbeitet - Vanta, Drata oder gleichwertig.
• Vertraut mit GDPR, CCPA oder gleichwertigen Datenschutzrahmen auf operativer Ebene.
• Sicherheitszertifikate (CISSP, CISM, CCSP) sind erwünscht, aber nicht erforderlich.

Wir verwenden diese Tools und erwarten, dass Sie mit den meisten von ihnen vertraut sind:

• AWS (IAM, CloudTrail, GuardDuty, Security Hub)
• Vanta, Drata oder gleichwertige Compliance-Automatisierungsplattform
• Git - Diffs lesen, architektonische Änderungen verfolgen, verstehen, was sich geändert hat und warum
• Okta oder gleichwertige Identitäts- und Zugriffsverwaltungstools
• KI-Tools für Forschung, Synthese und Workflow-Automatisierung - wir erwarten, dass Sie danach greifen
• Slack, Notion, Linear als operative Infrastruktur
• Ona, Claude, GPT als KI-Infrastruktur
• 1Password, Kolide
• Vertrauenszentrum-Plattformen (SafeBase, Conveyor oder gleichwertig)
• Socket.dev

Vorteile:

• Flexible bezahlte Freizeit, einschließlich Feiertagen, die für Sie am bedeutendsten sind.
• Arbeitnehmerfreundliche Eigenkapitalbedingungen (verlängerte Ausübung).
• Krankenversicherung (landesspezifisch).
• Altersvorsorge (landesspezifisch).
• Wellness-Zuschuss.
• Premium-Ausrüstung für das Arbeiten von zu Hause aus.
• Regelmäßige Unternehmensausflüge.

Interviewprozess:

Wir sind remote-first und so ist auch unser Einstellungsprozess. Wir sind uns Ihrer Zeit bewusst und setzen uns dafür ein, so effizient wie möglich zu sein.

Wir beginnen den Prozess mit einem Einführungsgespräch. Danach werden Sie eine Reihe von Interviews absolvieren, die darauf abzielen, unsere gegenseitige Kompatibilität gründlich zu bewerten.

• Einstellungsmanager
• Leiter Personal
• Peer-Gespräch
• Projekt- und Panel-Präsentation
• CEO

Als letzten Schritt werden wir Referenzgespräche mit Personen führen, die direkt über Ihre Leistung sprechen können. Darüber hinaus führen wir eine vollständige Hintergrundüberprüfung durch (standortspezifisch).