Information Security Vulnerability Management Officer — EFG International AG

Description complète

Informations générales

• Département: Sécurité de l'information et BCM – Gestion de la sécurité de l'information
• Temps de travail Pourcentage: 100%
• Lieu : Genève

Notre société

Notre but et notre mission

Description de l'emploi

Nous sommes à la recherche d'un professionnel de la sécurité de l'information de niveau directeur expérimenté pour rejoindre notre équipe de gestion de la sécurité de l'information en tant qu'agent de vulnérabilité et de gestion de la sécurité de l'information . Dans ce rôle de contributeur principal, vous dirigerez la capacité de gestion de la vulnérabilité et de l'exposition de l'EFG, en conduisant une approche de bout en bout fondée sur le risque pour identifier, évaluer et corriger les vulnérabilités techniques dans l'ensemble du paysage technologique de la banque.

Vous concevrez et améliorerez continuellement le cadre de gestion de la vulnérabilité, les processus et les outils, et fournirez une surveillance et un défi solides des activités d'assainissement effectuées par les équipes d'infrastructure, d'application et de plate-forme de TI. Fonctionnant avec un degré élevé d'autonomie, vous allez traduire des constatations techniques complexes en idées de risque claires et pertinentes pour l'entreprise et influencer les propriétaires de risques et les principaux intervenants afin d'aligner les priorités d'assainissement avec l'appétit de risque de la banque sur un horizon de 1 à 3 ans.

En outre, vous soutiendrez le cadre plus large de gestion des risques liés aux TIC en procédant à des évaluations des risques liés aux TIC et en apportant une contribution d'experts à la position de risque de la banque en matière de sécurité de l'information et de technologie.

Principales responsabilités

• Concevoir et élaborer le cadre de gestion de la vulnérabilité et de l'exposition axé sur les risques, définir les exigences relatives aux processus et aux outils, cerner les lacunes et maintenir une feuille de route pluriannuelle pour arriver à maturité.
• Diriger le cycle de vie complet de la gestion de la vulnérabilité, depuis l'admission, l'analyse et l'évaluation des risques jusqu'à l'établissement des priorités en matière de remise en état, le suivi auprès des équipes de TI, les rapports, l'escalade formelle et l'acceptation des risques des vulnérabilités critiques.
• Définir, surveiller et remettre en question les principaux indicateurs de rendement et de risque (ICP/IRC) pour la gestion de la vulnérabilité (p. ex., couverture de l'analyse, calendrier d'assainissement, exposition résiduelle au risque), en utilisant des mesures pour stimuler la responsabilisation et l'amélioration continue auprès des propriétaires de TI et de risques.
• Favoriser l'établissement de priorités en matière de remise en état fondée sur le risque en collaborant étroitement avec les équipes d'infrastructure informatique, les propriétaires d'applications et les propriétaires de risques pour convenir d'approches et de calendriers de remise en état qui correspondent à l'appétit pour les risques et aux attentes réglementaires de la banque.
• Planifier et superviser les analyses et les évaluations périodiques de vulnérabilité sur les environnements internes et le périmètre externe, en veillant à ce que la couverture soit conforme aux exigences définies, à la portée technologique et aux nouvelles menaces.
• Défier et appuyer les équipes de TI et d'application sur l'assainissement opportun des vulnérabilités et des écarts de configuration, faciliter les ateliers de planification de l'assainissement, suivre les progrès et éliminer proactivement les obstacles à la fermeture.
• Préparer et présenter des rapports et des tableaux de bord clairs sur la gestion de la vulnérabilité à l'intention des organes de gouvernance compétents et des principaux intervenants, en veillant à ce que les risques en dehors de la banque soient pris en charge, que les délais et les plans d'action soient respectés.
• Identifier et mettre en œuvre des possibilités d'améliorer la gestion de la vulnérabilité grâce à l'IA, à l'analyse et à l'automatisation avancées, y compris des flux de travail automatisés pour l'analyse de la vulnérabilité, la hiérarchisation et le suivi de l'assainissement.
• Effectuer des évaluations des risques liés aux TIC sur les menaces, les vulnérabilités et les changements technologiques émergents et formuler des recommandations d'experts sur le traitement des risques liés aux technologies de l'information, à la sécurité de l'information, aux tiers et aux données.
• Traduire des vulnérabilités techniques complexes et des lacunes en récits concis de l'impact sur les entreprises pour les parties prenantes supérieures, permettant des décisions éclairées sur l'acceptation des risques, l'investissement et la hiérarchisation.

Exigences et qualifications

Éducation

• Minimum: Baccalauréat en informatique, génie informatique, cybersécurité ou un domaine étroitement lié, ou expérience professionnelle équivalente.
• Préféré : Maîtrise en sécurité de l'information, cybersécurité ou discipline connexe est un avantage.

Certifications professionnelles / Licences

• Les certifications pertinentes en matière de sécurité de l'information sont hautement souhaitables, comme le CISSP, le CISM, le CISA, le GIAC ou des qualifications équivalentes en matière de sécurité de l'information et/ou de risque TIC.

Expérience professionnelle

• Au moins 10 ans d'expérience pertinente en matière de sécurité de l'information, l'accent étant mis sur la gestion de la vulnérabilité dans un environnement informatique complexe, de préférence dans les services financiers.
• Expérience éprouvée dans la conception et l'exploitation de cadres de gestion de la vulnérabilité, y compris les processus, l'outillage et l'établissement de rapports dans un environnement réglementé.
• Expérience démontrée en matière d'évaluation des risques liés à la sécurité de l'information ou aux TIC et en matière de traitement des risques et d'acceptation des risques.
• Faire le suivi de l'influence des principaux intervenants et des propriétaires de risques sur les priorités en matière d'assainissement, en utilisant des données recueillies et des descriptions claires des risques.
• Expérience de travail en étroite collaboration avec les équipes d'infrastructure, d'application et de plate-forme de TI, idéalement dans des environnements utilisant des pratiques de livraison modernes (Agile, IC/CD, DevOps).

Connaissances techniques / fonctionnelles

• Bonne connaissance pratique des normes et lignes directrices reconnues en matière de gestion de la vulnérabilité et des patchs (par exemple, NIST SP 800-40, SANS guidance on threat and vulgarity assessment and management security vulnérabilités).
• Compréhension approfondie des outils, technologies et processus de gestion de la vulnérabilité, y compris les scanners de vulnérabilité, les outils d'évaluation de la configuration et les solutions de rapport connexes.
• Compréhension technique solide de la vulnérabilité et de l'analyse des logiciels malveillants, avec la capacité d'évaluer les risques et de faire la distinction entre les problèmes à impact élevé et les constatations à faible risque.
• Une bonne compréhension des processus de gestion des patchs dans les grandes organisations et de la manière de soutenir les équipes informatiques pour s'assurer que les systèmes sont corrigés en fonction des risques, de la criticité et des contraintes opérationnelles.
• Une forte appétit technique et la capacité de plonger profondément dans la configuration du scanner de vulnérabilité, la couverture et les limitations, et d'interpréter les résultats de l'analyse à travers les systèmes d'exploitation, les appareils réseau et les applications.
• Familiarisation avec les pratiques modernes de livraison (Agile, IC/CD, DevOps) et la capacité de défier la façon dont les vulnérabilités, l'obsolescence et le déploiement de patchs sont gérés tout au long du cycle de vie du logiciel, en veillant à ce que l'assainissement soit intégré dans les pipelines de livraison.
• Expérience de la surveillance des sources externes telles que les avis de sécurité, les forums spécialisés et les communautés de pratique pour identifier les vulnérabilités pertinentes et alimenter le processus de gestion de la vulnérabilité.

Compétences comportementales et interpersonnelles

• Excellentes compétences en communication, avec la capacité d'expliquer clairement les découvertes techniques complexes aux publics techniques et non techniques.
• Forte influence et compétences en gestion des intervenants, avec la capacité de défier de façon constructive lorsque le risque n'est pas adéquatement traité et de stimuler l'alignement avec l'appétit de risque de la banque.
• Un haut niveau de réflexion analytique, de résolution de problèmes et de jugement des risques, fonctionnant avec une autonomie significative au sein de la fonction Sécurité de l'information et BCM.

Langues

• Anglais : Fluent (parlé et écrit).
• Français ou italien : considéré comme un avantage.

Nos valeurs

• Responsabilité : prise en charge des tâches et des défis, et recherche d'amélioration continue
• Hands-on: être proactif pour obtenir rapidement des résultats de haute qualité
• Passionné : être engagé et rechercher l'excellence
• Une solution axée sur les résultats des clients et un traitement équitable des clients avec une prise de conscience des risques
• Orientation vers le partenariat : Promouvoir la collaboration et le travail d'équipe. Travailler ensemble avec un esprit d'entreprise.

Questions sur cette offre