Ведущий инженер по рискам информационной безопасности в Gitlab | Эйч — сервис развития карьеры

Ведущий инженер по рискам информационной безопасности в Gitlab | Эйч — сервис развития карьеры

GitLab — интеллектуальная платформа оркестрации для DevSecOps. GitLab помогает организациям повышать продуктивность разработчиков, улучшать операционную эффективность, снижать риски в области безопасности и соответствия требованиям и ускорять цифровую трансформацию. Более 50 миллионов зарегистрированных пользователей и более 50% компаний из списка Fortune 100* доверяют GitLab выпуск более качественного и безопасного программного обеспечения быстрее.

Те же принципы, заложенные в наши продукты, отражаются в том, как работает наша команда: мы рассматриваем ИИ как ключевой множитель продуктивности, и от всех членов команды ожидается внедрение ИИ в ежедневные рабочие процессы для повышения эффективности, инноваций и влияния. GitLab — место, где карьера ускоряется, инновации процветают, и каждый голос ценится. Наша высокоэффективная культура основана на наших ценностях и непрерывном обмене знаниями, что позволяет членам команды раскрывать свой полный потенциал, сотрудничая с лидерами отрасли в решении сложных задач. Создавайте будущее вместе с нами, пока мы строим технологии, которые меняют то, как мир разрабатывает программное обеспечение.

*Fortune 500® — зарегистрированная торговая марка Fortune Media IP Limited, используется по лицензии. Утверждение основано на данных GitLab. Fortune 100 относится к компаниям из верхних 20% рейтинга в списке Fortune 500 за 2025 год, опубликованном в июне 2025 года. Fortune и Fortune Media IP Limited не связаны с GitLab и не одобряют продукты или услуги GitLab.

Обзор этой роли

Функция управления рисками безопасности в GitLab отвечает за снижение рисков в подразделении безопасности: риски третьих сторон (TPRM), ежегодные оценки рисков безопасности, ежеквартальная отчётность по рискам и устранение выявленных проблем безопасности. В роли старшего инженера по рискам безопасности вы будете отвечать за выявление рисков, их количественную оценку и отслеживание устранения по всей компании и станете движущей силой автоматизации и модернизации работы команды с использованием ИИ и скриптов. Подчиняясь менеджеру по рискам безопасности, вы принесёте экспертизу в методологии рисков, риск-ориентированном мышлении и внедрении ИИ.

В этой роли вы будете тесно сотрудничать с подразделениями безопасности, юридическим, IT, продуктовым и инженерным, чтобы переводить технические находки и риски поставщиков в бизнес-ориентированные формулировки рисков и меры по их обработке. Вы поможете выявлять возникающие риски и докладывать руководству о ключевых рисках.

Некоторые примеры наших проектов:

Создание и поддержка реестра рисков, который переводит технические уязвимости, пробелы в контролях и находки по рискам третьих сторон в количественно оценённые, бизнес-ориентированные формулировки рисков.
Координация межфункционального устранения находок по безопасности и проблем рисков до закрытия с отслеживанием по SLA.
Продвижение автоматизации и улучшений с использованием ИИ для процессов рисков и GRC, чтобы команда тратила меньше времени на ручную работу и больше — на высокоценный анализ рисков и развитие программы.

Чем вы будете заниматься

Отвечать за выявление, анализ и приоритизацию рисков в области рисков третьих сторон (TPRM), оценок рисков безопасности и находок по безопасности, используя устоявшуюся рамку управления рисками (например, NIST RMF, ISO 31000 или NIST 800-39).
Переводить технические уязвимости, пробелы в контролях и находки по рискам в чёткие, количественно оценённые формулировки рисков, на основе которых могут действовать заинтересованные стороны вне безопасности и руководство.
Доводить устранение находок и исключений по рискам до закрытия, сотрудничая с инженерным, IT, продуктовым и юридическим подразделениями и эскалируя застопорившиеся или критически важные пункты.
Развивать и поддерживать реестр рисков и ежеквартальный цикл отчётности, дающий руководству ясную видимость открытых рисков, прогресса устранения и тенденций.
Отвечать за развитие управления рисками ИИ, включая оценки влияния ИИ, оценки рисков ИИ и меры по обработке рисков в поддержку сертификации ISO 42001.
Проектировать, разрабатывать и внедрять ключевые индикаторы рисков и сопутствующие метрики для главных рисков в реестре рисков.
Выявлять ручные, повторяющиеся шаги в процессах рисков и TPRM и самостоятельно создавать автоматизацию, скрипты или инструменты с поддержкой ИИ, чтобы их убрать.
Вносить вклад в дорожную карту программы рисков с учётом новых рамок, изменений регулирования и уроков прошлых оценок.
Отслеживать внутренний и внешний ландшафт рисков (новые рамки, тренды угроз, изменения в бизнесе), чтобы выявлять и эскалировать возникающие риски до того, как они станут находками.

Что вы принесёте с собой

5+ лет опыта в управлении рисками безопасности, работы с рамками управления рисками или соответствия с фокусом на безопасность (например, NIST RMF, NIST 800-39, ISO 31000). Знакомство с рамками управления ИИ (например, ISO 42001, NIST AI RMF) будет плюсом.
Опыт проектирования и проведения качественного и количественного анализа рисков, переводящего технические риски в измеримое влияние на бизнес.
Подтверждённый опыт доведения оценок рисков, реестров рисков и мер по устранению до закрытия совместно с IT, закупками, внутренним аудитом, юридическим, продуктовым и инженерным подразделениями в среде с жёстким регулированием или несколькими юридическими лицами.
Опыт интерпретации технических требований к контролям и их перевода для технических и нетехнических заинтересованных сторон.
Выраженная склонность к автоматизации: вы лично создавали скрипты, рабочие процессы или инструменты с поддержкой ИИ, которые сокращали ручную работу по рискам или GRC, а не только концептуально оценивали инструменты.
Комфортная работа в условиях неопределённости, ведение нескольких параллельных оценок и переприоритизация при жёстких сроках.
Выдающиеся навыки письменной и устной коммуникации с подтверждённой способностью переводить риски безопасности в бизнес-риски.
Глубокое понимание облачной безопасности, моделей безопасности SaaS и практик DevSecOps.
Соответствующие сертификаты (например, CISSP, CISM, CISA, CRISC) предпочтительны, но не обязательны.

О команде

Организация Security Assurance помогает GitLab создавать и поддерживать доверие, укрепляя подход к безопасности, соответствию и рискам по всей компании. Команда управления рисками безопасности входит в эту группу и отвечает за риски третьих сторон (TPRM), оценки рисков безопасности и устранение находок по безопасности. Команда Security Risk проводит тщательные, совместные и эффективные оценки рисков, а также способствует снижению рисков, чтобы GitLab мог достигать своих целей, сохраняя высокий уровень безопасности. Смежные функции — Security Compliance, Security Governance и Security Enablement.

Диапазон базовой заработной платы для указанного уровня этой роли в настоящее время действует только для резидентов Соединённых Штатов. Этот диапазон отражает базовую ставку заработной платы по роли в различных локациях по США. Уровень грейда и диапазоны зарплат определяются по результатам собеседований и анализа образования, опыта, знаний, навыков и способностей кандидата, справедливости по отношению к другим членам команды, соответствия рыночным данным и географическому расположению. Диапазон базовой зарплаты не включает бонусы, долевое участие или льготы. Подробнее о наших льготах и долевом участии. Для ролей в продажах также предусмотрена стимулирующая выплата до 100% от предлагаемой базовой зарплаты.

Диапазон зарплаты в США$139,200—$189,000 USD

Как GitLab поддерживает штатных сотрудников

Обратите внимание: мы приветствуем интерес кандидатов с разным уровнем опыта; многие успешные кандидаты не соответствуют каждому отдельному требованию. Кроме того, исследования показывают, что представители недостаточно представленных групп реже подают заявки на вакансию, если не соответствуют каждой квалификации. Если вас вдохновляет эта роль, подайте заявку и позвольте нашим рекрутерам оценить ваше резюме.

Правила найма по странам: GitLab нанимает новых членов команды в странах по всему миру. Все наши роли удалённые, однако для некоторых ролей могут действовать особые требования к локации. Команда Talent Acquisition поможет ответить на вопросы о локации после начала процесса подбора.

Политика конфиденциальности: Ознакомьтесь с нашей политикой конфиденциальности при подборе персонала. Ваша конфиденциальность важна для нас.

GitLab гордится тем, что является работодателем с равными возможностями и придерживается политики позитивных действий. Политики и практики GitLab в области подбора, трудоустройства, развития карьеры и продвижения, а также выхода на пенсию основаны исключительно на заслугах, независимо от расы, цвета кожи, религии, происхождения, пола (включая беременность, лактацию, сексуальную ориентацию, гендерную идентичность или гендерное самовыражение), национального происхождения, возраста, гражданства, семейного положения, психических или физических ограничений, генетической информации (включая семейную медицинскую историю), статуса увольнения из вооружённых сил, защищённого статуса ветерана (включая инвалидов-ветеранов, недавно уволенных ветеранов, ветеранов с наградой за службу в боевых действиях или кампаниях и ветеранов с медалью вооружённых сил) или любого другого основания, защищённого законом. GitLab не терпит дискриминации или домогательств по любому из этих признаков. См. также политику равных возможностей трудоустройства GitLab и EEO is the Law. Если у вас есть инвалидность или особые потребности, требующие разумных приспособлений, сообщите нам об этом в ходе процесса подбора.