Information Security Vulnerability Management Officer — EFG International AG

Vollständige Beschreibung

Allgemeine Informationen

• Abteilung: Informationssicherheit & BCM – Informationssicherheitsmanagement
• Arbeitszeit Prozentsatz: 100%
• Standort: Genf

Unser Unternehmen

Unser Ziel und unsere Mission

Stellenbeschreibung

Wir suchen einen erfahrenen Director-Level Information Security Professional, der sich unserem Information Security Management Team als Information Security Vulnerability & Management Officer anschließt. In dieser Rolle als leitender Einzelbeitragsleister leiten Sie die Schwachstellen- und Exposure-Management-Funktion von EFG und verfolgen einen risikobasierten, durchgängigen Ansatz zur Identifizierung, Bewertung und Behebung technischer Schwachstellen in der gesamten Technologielandschaft der Bank.

Sie entwerfen und verbessern kontinuierlich das Schwachstellenmanagement-Framework, die Prozesse und das Tooling und bieten eine starke Aufsicht und Herausforderung für Behebungsaktivitäten, die von IT-Infrastruktur-, Anwendungs- und Plattformteams durchgeführt werden. Mit einem hohen Maß an Autonomie übersetzen Sie komplexe technische Erkenntnisse in klare, geschäftsrelevante Risikoerkenntnisse und beeinflussen Risikoinhaber und Senior Stakeholder, die Sanierungsprioritäten über einen Zeitraum von 1 bis 3 Jahren an der Risikobereitschaft der Bank auszurichten.

Darüber hinaus unterstützen Sie den breiteren Rahmen für das IKT-Risikomanagement, indem Sie IKT-Risikobewertungen durchführen und Expertenbeiträge zur Risikoposition der Bank in den Bereichen Informationssicherheit und Technologie leisten.

Hauptzuständigkeiten

• Konzipieren und Weiterentwicklung des durchgängigen, risikobasierten Vulnerabilitäts- und Expositionsmanagement-Rahmens, Definieren von Anforderungen an Prozesse und Tools, Erkennen von Lücken und Beibehaltung eines mehrjährigen Fahrplans zur Ausreifung der Fähigkeit.
• Führen Sie den gesamten Schwachstellenmanagement-Lebenszyklus, von der Aufnahme, Analyse und Risikobewertung bis hin zur Priorisierung der Mängelbeseitigung, Nachverfolgung mit IT-Teams, Berichterstattung und formalen Eskalation und Risikoakzeptanz kritischer Schwachstellen.
• Definieren, überwachen und hinterfragen Sie wichtige Leistungs- und Risikoindikatoren (KPIs/KRIs) für das Schwachstellenmanagement (z. B. Scan-Abdeckung, Zeitpläne für die Behebung von Mängeln, Restrisikoexposition), indem Sie Metriken verwenden, um die Rechenschaftspflicht und kontinuierliche Verbesserung bei IT- und Risikoeigentümern zu fördern.
• Förderung der Priorisierung der risikobasierten Sanierung durch enge Zusammenarbeit mit IT-Infrastrukturteams, Anwendungsbesitzern und Risikoeigentümern, um Sanierungsansätze und Zeitpläne zu vereinbaren, die mit der Risikobereitschaft und den regulatorischen Erwartungen der Bank übereinstimmen.
• Planen und überwachen Sie periodische Schwachstellenscans und -bewertungen für interne Umgebungen und den externen Perimeter, um sicherzustellen, dass die Abdeckung den definierten Anforderungen, dem Technologieumfang und den aufkommenden Bedrohungen entspricht.
• Fordern und unterstützen Sie IT- und Anwendungsteams bei der rechtzeitigen Behebung von Schwachstellen und Konfigurationsabweichungen, erleichtern Sie Workshops zur Behebungsplanung, verfolgen Sie den Fortschritt und entfernen Sie proaktiv Hindernisse für die Schließung.
• Erstellen und Präsentieren Sie klare Schwachstellenmanagementberichte und Dashboards für relevante Governance-Gremien und hochrangige Stakeholder, um Eigentümerschaft, Fristen und Aktionspläne für Risiken außerhalb der Risikobereitschaft der Bank sicherzustellen.
• Identifizieren und implementieren Sie Möglichkeiten zur Verbesserung des Schwachstellenmanagements durch KI, fortschrittliche Analysen und Automatisierung, einschließlich automatisierter Workflows für Schwachstellenanalyse, Priorisierung und Nachverfolgung von Mängeln.
• Durchführung von IKT-Risikobewertungen zu neu auftretenden Bedrohungen, Schwachstellen und Technologieänderungen und Bereitstellung von Expertenempfehlungen für die Risikobehandlung in den Bereichen IT, Informationssicherheit, Drittparteien und datenbezogene Risiken.
• Übersetzen komplexer technischer Schwachstellen und Mängelbeseitigungslücken in prägnante Business Impact Narrative für Senior Stakeholder, um fundierte Entscheidungen über Risikoakzeptanz, Investitionen und Priorisierung zu ermöglichen.

Anforderungen und Qualifikationen

Bildung

• Minimum: Bachelor-Abschluss in Informatik, IT Engineering, Cybersecurity oder einem eng verwandten Bereich oder gleichwertige Berufserfahrung.
• Bevorzugt: Der Master-Abschluss in Information Security, Cybersecurity oder einer verwandten Disziplin ist von Vorteil.

Professionelle Zertifizierungen / Lizenzen

• Relevante Informationssicherheitszertifizierungen sind sehr wünschenswert, wie CISSP, CISM, CISA, GIAC oder gleichwertige Qualifikationen in Informationssicherheit und / oder IKT-Risiko.

Berufserfahrung

• Mindestens 10 Jahre einschlägige Erfahrung in der Informationssicherheit, mit einem starken Fokus auf Schwachstellenmanagement in einer komplexen IT-Umgebung, vorzugsweise in Finanzdienstleistungen.
• Bewährte Erfahrung in der Gestaltung und dem Betrieb von Schwachstellenmanagement-Frameworks, einschließlich Prozessen, Tooling und Reporting in einer regulierten Umgebung.
• Nachgewiesene Erfahrung bei der Durchführung von Risikobewertungen für Informationssicherheit oder IKT und bei der Mitwirkung an Risikobehandlungs- und Risikoakzeptanzentscheidungen.
• Erfolgsbilanz bei der Beeinflussung leitender Stakeholder und Risikoeigentümer bei Sanierungsprioritäten unter Verwendung datengestützter Erkenntnisse und klarer Risikoerzählungen.
• Erfahrung in der engen Zusammenarbeit mit IT-Infrastruktur-, Anwendungs- und Plattformteams, idealerweise in Umgebungen mit modernen Bereitstellungspraktiken (Agile, CI/CD, DevOps).

Technisches / Funktionales Wissen

• Ausgeprägte Kenntnisse über anerkannte Schwachstellen- und Patch-Management-Standards und -Richtlinien (z. B. NIST SP 800-40, SANS-Leitlinien zur Bedrohungs- und Schwachstellenbewertung und zum Management von Sicherheitslücken).
• Vertieftes Verständnis von Schwachstellenmanagement-Tools, -Technologien und -Prozessen, einschließlich Schwachstellenscannern, Konfigurationsbewertungstools und zugehörigen Berichtslösungen.
• Solides technisches Verständnis der Schwachstellen- und Malware-Analyse mit der Fähigkeit, Risiken zu bewerten und zwischen hochwirksamen Problemen und risikoarmen Ergebnissen zu unterscheiden.
• Ein gutes Verständnis der Patch-Management-Prozesse in großen Organisationen und wie man IT-Teams dabei unterstützt, sicherzustellen, dass Systeme nach Risiko, Kritikalität und Geschäftsbeschränkungen gepatcht werden.
• Starker technischer Appetit und Fähigkeit, tief in die Konfiguration, Abdeckung und Einschränkungen von Schwachstellenscannern einzutauchen und Scanergebnisse über Betriebssysteme, Netzwerkgeräte und Anwendungen hinweg zu interpretieren.
• Vertrautheit mit modernen Bereitstellungspraktiken (Agile, CI/CD, DevOps) und die Fähigkeit, die Art und Weise, wie Schwachstellen, Obsoleszenz und Patch-Bereitstellung über den gesamten Softwarelebenszyklus hinweg verwaltet werden, in Frage zu stellen, um sicherzustellen, dass die Behebung in Lieferpipelines eingebettet ist.
• Erfahrung in der Überwachung externer Quellen wie Sicherheitsberatungen, Fachforen und Praxisgemeinschaften, um relevante Schwachstellen zu identifizieren und den Schwachstellenmanagementprozess zu unterstützen.

Verhaltens- und zwischenmenschliche Fähigkeiten

• Hervorragende Kommunikationsfähigkeiten mit der Fähigkeit, komplexe technische Erkenntnisse sowohl dem technischen als auch dem nichttechnischen Publikum klar zu erklären.
• Starke Einfluss- und Stakeholder-Management-Fähigkeiten mit der Fähigkeit, konstruktiv herauszufordern, wenn das Risiko nicht angemessen angegangen wird, und die Ausrichtung auf die Risikobereitschaft der Bank zu fördern.
• Hohes analytisches Denken, Problemlösung und fundiertes Risikourteil, mit erheblicher Autonomie innerhalb der Funktion Information Security & BCM.

Sprachen

• Englisch: fließend (gesprochen und geschrieben).
• Französisch oder Italienisch: Ein Vorteil.

Unsere Werte

• Verantwortlichkeit: Übernahme von Verantwortung für Aufgaben und Herausforderungen sowie Suche nach kontinuierlicher Verbesserung
• Hands-on: Proaktiv sein, um schnell qualitativ hochwertige Ergebnisse zu liefern
• Leidenschaftlich: Engagiert sein und nach Exzellenz streben
• Lösungsorientiert: Fokussierung auf Kundenergebnisse und faire Behandlung von Kunden mit einer risikobewussten Denkweise
• Partnerschaftsorientiert: Zusammenarbeit und Teamwork fördern. Zusammenarbeit mit Unternehmergeist.

Fragen zu dieser Stellenanzeige