Security Analyst / ISSO

Standort: Remote

Beschäftigungsart: Vollzeit

Abteilung: Engineering

Vollzeit · Remote · US-basiert · Senior-Level · Berichtet an CISO

US-Staatsbürgerschaft oder rechtmäßiger Status als ständiger Einwohner erforderlich. Diese Rolle beinhaltet den Zugang zu kontrollierten nicht klassifizierten Informationen (CUI); keine Sicherheitsfreigabe erforderlich.

ÜBER LYNK

Lynk baut das weltweit erste globale Satelliten-zu-Mobilfunknetz auf, das eine direkte Geräte-zu-Geräte (D2D) Verbindung von kommerziellen Satelliten in niedriger Erdumlaufbahn (LEO) zu Standard-Mobiltelefonen ermöglicht, ohne dass spezielle Hardware erforderlich ist. Wir operieren in einem Markt neben anderen kommerziellen LEO-Konstellationen, satellitengestützten Mobilfunkanbietern und großflächigen Breitband-Satellitennetzen und konkurrieren um dasselbe Spektrum, dieselben Umlaufbahnen und Regierungsverträge. Unsere Technologie und Netzwerk-Infrastruktur sind von erheblichem Interesse für US-Regierungs- und Verteidigungskunden. Der Schutz der Integrität dieser Infrastruktur und der kontrollierten nicht klassifizierten Informationen, die durch sie fließen, ist von entscheidender Bedeutung. Das ist der Punkt, an dem Sie ins Spiel kommen.

Rollenübersicht

Sie berichten direkt an den CISO und sind verantwortlich für Lynks Cybersecurity-Compliance-Programm gemäß CMMC Level 2 / NIST SP 800-171, DFARS 7012, SOC 2 Typ II und GDPR. Sie sind ISSO für CUI-spezifische Systeme: Erstellung von SSPs, Pflege von POA&M, Durchführung von Kontrollbewertungen und Leitung der C3PAO-Engagements. Lynk hat bereits ein funktionierendes Sicherheitstoolset, einschließlich SIEM/Protokollmanagement, EDR, MDM, Schwachstellenmanagement und IT-Asset-Management; Ihre Aufgabe ist es, dieses Toolset zu verbessern und an die CMMC-Anforderungen anzupassen, nicht von Grund auf neu zu beginnen.

Verantwortlichkeiten

• GRC & Compliance (primär)

• Besitzen und pflegen Sie den System Security Plan (SSP) und den Plan of Action & Milestones (POA&M) für alle CUI-spezifischen Systeme; halten Sie die Dokumentation immer auditbereit.
• Bewerten Sie alle 110 NIST SP 800-171 Praktiken hinsichtlich Implementierung und Effektivität; ordnen Sie bestehende Kontrollen (Wazuh, ThreatDown, Tenable, ManageEngine, AD GPOs, SnipeIT) den CMMC-Anforderungen zu, identifizieren Sie Lücken und treiben Sie die Behebung voran.
• Pflegen Sie das organisatorische Risikoregister; unterstützen Sie laufende Prozesse des Risk Management Framework (RMF) und berichten Sie über die Risikolage an den CISO.
• Leiten Sie die Vorbereitung auf CMMC Level 2 Bewertungen – erstellen Sie Nachweispakete, koordinieren Sie mit dem C3PAO und verwalten Sie Anfragen und Ergebnisse von Gutachtern.
• Entwickeln und pflegen Sie Cybersecurity-Richtlinien, -verfahren und -standards, die an CMMC, DFARS, SOC 2 und GDPR ausgerichtet sind; stellen Sie sicher, dass Versionskontrolle und Mitarbeiterbestätigungsunterlagen gepflegt werden.
• Definieren, verfolgen und berichten Sie Sicherheitskennzahlen und KPIs an den CISO und nicht-technische Stakeholder, einschließlich Rechtsabteilung, Verträge und Geschäftsentwicklungsteams.
• Unterstützen Sie Vertragsteams bei den Anforderungen der DFARS-Klausel, Cybersecurity-Darstellungen und Kunden-Sicherheitsfragebögen.
• Durchführen von Risikoanalysen für Anbieter und Dritte; pflegen Sie die Risikodokumentation für Lieferanten.
• Verwalten Sie das Schulungsprogramm zur Sicherheitsbewusstseinsbildung und Phishing-Simulationen; führen Sie Abschlussunterlagen gemäß CMMC-Anforderungen.

• Überwachen Sie SIEM auf Sicherheitsereignisse und Warnungen, die für CUI-Systeme relevant sind; schreiben und optimieren Sie Erkennungsregeln; triagieren und beschleunigen Sie Vorfälle; erstellen Sie Nachberichte mit Auswirkungen auf die Compliance-Bewertung.
• Überwachen Sie EDR-Warnungen für CUI-spezifische Endpunkte; untersuchen Sie Erkennungen und koordinieren Sie die Reaktion mit der IT.
• Arbeiten Sie mit der IT zusammen, um sicherzustellen, dass Schwachstellen innerhalb der von CMMC geforderten Fristen behoben werden, verfolgen und berichten Sie über den Status der Behebung.
• Nutzen Sie MDM und Active Directory, um die Gerätekonformität, GPO-basierte Sicherheitsgrundlagen und Zugriffskontrollrichtlinien für CUI-spezifische Endpunkte durchzusetzen.
• Verwenden Sie das Asset-Inventar als das autoritative Hardware-/Software-Asset-Register für die Dokumentation der CMMC-Systemgrenze; halten Sie es aktuell und auditbereit.
• Führen Sie regelmäßige Audits der Zugriffskontrolle durch; setzen Sie das Prinzip der minimalen Berechtigung über AD, SSO und SaaS-Tools, die CUI behandeln, durch.

Erforderliche Fähigkeiten und Erfahrungen

• 3–6 Jahre Erfahrung in der Cybersicherheit mit starkem Fokus auf GRC oder Compliance; frühere ISSO-Erfahrung oder gleichwertige Verantwortung bevorzugt.
• Tiefes, praktisches Wissen über NIST SP 800-171 und DFARS 7012. In der Lage, alle 110 Kontrollen unabhängig zu bewerten, Lücken zu analysieren und Nachweise zu erbringen.
• Nachgewiesene Erfahrung in der Erstellung von SSPs und POA&M für regierungsnahe oder regulierte Umgebungen.
• Vertrautheit mit dem CMMC Level 2 Bewertungsprozess und C3PAO-Engagement.
• Praktische Erfahrung mit SIEM: Schreiben von Erkennungsregeln, Abfragen von Protokollen und Erzeugen von Compliance-gerechten Auditnachweisen.
• Praktische Erfahrung mit EDR- und Schwachstellenscanning-Tools im Compliance-Kontext. Zuordnen von Toolausgaben zu NIST-Kontrollen und Erzeugen von Nachweisen für Gutachter.
• Praktisches Wissen über SOC 2 Typ II und GDPR-Compliance-Anforderungen.
• Einige Grundlagen der Cloud-Sicherheit (AWS bevorzugt). IAM, CloudTrail, GuardDuty, Zugriffspolitiken.
• Klare, strukturierte Kommunikation. Gleichwohl in der Lage, formelle Richtliniendokumente zu schreiben und nicht-technische Führungskräfte zu informieren.
• US-Staatsbürgerschaft oder rechtmäßiger Status als ständiger Einwohner.

Schön zu haben

• CMMC Registered Practitioner (RP) oder Professional (CCP)
• CISSP / CISM / Security+
• RMF / ATO-Erfahrung
• FedRAMP-Vertrautheit
• Hintergrund in der Raumfahrt-/Satellitenindustrie
• Telekommunikations- oder kritische Infrastruktur-Sicherheit
• Frühere C3PAO-Bewertungserfahrung
• Erfahrung mit GRC-Plattformen (Vanta, Drata, Archer, ServiceNow)
• Skripting in Python oder Bash zur Automatisierung der Nachweiserfassung
• Zero-Trust-Architektur

Was Lynk bietet

• Wettbewerbsfähiges Gehalt und Eigenkapital in einem Unternehmen, das wirklich neuartige globale Infrastruktur aufbaut.
• Remote-first, US-basierte Rolle.
• Direkte Verbindung zum CISO; Ihre Arbeit definiert Lynks Compliance-Position in einer kritischen Wachstumsphase.
• Ein funktionierendes Sicherheitstoolset ist bereits vorhanden. Ihr Fokus liegt auf der Verbesserung und Anpassung, nicht auf dem Aufbau von Grund auf.
• Budget für Lernen und Zertifizierung.

Lynk ist ein Arbeitgeber, der Chancengleichheit bietet. Diese Position erfordert US-Staatsbürgerschaft oder rechtmäßigen Status als ständiger Einwohner aufgrund des Zugangs zu kontrollierten nicht klassifizierten Informationen.