Аналитик по информационной безопасности (ГИС) (удаленная работа)

Вакансия: Аналитик по информационной безопасности (ГИС)

Описание вакансии

О команде и проектах:

Мы проектный офис, который отвечает за полный цикл развития и эксплуатации государственных информационных систем:

• ЕИС в сфере закупок (zakupki.gov.ru);
• ГИС Торги (torgi.gov.ru);
• ЕБП Финансы (модуль ГИИС Электронный бюджет ).

Мы не просто пишем код по ТЗ мы обеспечиваем соответствие систем требованиям регуляторов, сопровождаем аттестацию и внедряем безопасные практики в разработку. Нам нужен Аналитик ИБ, который будет мостом между нормативкой и командой разработки, а не просто человеком, который пишет документы по шаблону .

Чем предстоит заниматься:

• Сопровождение проектов по разработке, внедрению и эксплуатации ГИС и ИСПДн от анализа требований до приведения систем в соответствие с требованиями регуляторов;
• Разработка документации по ИБ: технические задания, модели угроз и нарушителя, эксплуатационная и организационно-распорядительная документация;
• Анализ уязвимостей: оценка возможности эксплуатации, разработка компенсирующих мер, приоритезация устранения;
• Консультирование команд разработки, эксплуатации и сопровождения по вопросам ИБ вы становитесь точкой экспертизы, к которой идут за решением;
• Оценка соответствия требованиям законодательства и лучшим практикам (ГИС, ИСПДн, КИИ и др.), участие в аттестационных мероприятиях.

Требования:

• Практический опыт разработки моделей угроз и моделей нарушителя для конкретных систем (ГИС, ИСПДн, КИИ) с обоснованием выбора угроз и мер защиты, а не по шаблону;
• Опыт применения приказов ФСТЭК России 117 и 21 на практике: вы понимаете, как требования из документа превращаются в конкретные меры, документы и настройки системы;
• Опыт разработки организационно-распорядительной документации по ИБ , которая реально использовалась (при аттестации, проверках, в эксплуатации), а не лежала для галочки ;
• Понимание, как устроены ГИС и ИСПДн: классы защищённости, уровни защищённости, категории значимости и что из этого следует для набора мер;
• Высшее техническое образование (ИБ или техническое + дополнительное образование в сфере ИБ).

Будет плюсом:

• Участие в аттестации информационных систем (не просто знаю, что это такое , а проходил, готовил документы, сопровождал );
• Опыт сертификации ПО или оценки корректности встраивания СКЗИ;
• Знание методических рекомендаций ФСТЭК России по безопасной разработке ПО (SSDLC) и опыт их внедрения;
• Опыт работы с регуляторами (ФСТЭК России, ФСБ) подготовка ответов на запросы, участие в проверках.

Что мы проверяем на собеседовании (и почему это важно):
Мы сознательно не спрашиваем заученные списки законов. Вместо этого мы разбираем кейсы. На собеседовании вас ждут вопросы вроде:

• Вот система класса К1. Какие меры защиты вы предложите и почему?
• Пришло изменение в приказ ФСТЭК. Что изменится в вашей модели угроз и документации?
• Нашли уязвимость, но патч поставить нельзя компонент сертифицирован. Ваши действия?
• Как вы объясните разработчику, почему нельзя делать так, как он предлагает, и что можно сделать вместо этого?

Если вы можете рассуждать, а не вспоминать формулировки вам будет комфортно в этой роли и на этом собеседовании. Если ваш опыт ограничивается чтением нормативки без применения к сожалению, мы это быстро увидим.

Мы предлагаем:

• Мы оформляем официально и предлагаем стабильный и прозрачный доход;
• Формат работы: удаленно по РФ, при желании можно посещать офис;
• Зарплата: обсуждается индивидуально;
• Все льготы и преимущества работы в аккредитованной ИТ-компании;
• Обучение: корпоративный университет, электронная библиотека, вебинары с внешними и внутренними экспертами, центр карьерного консультирования;
• Сообщества: школа спикеров, дебат клуб, писатели Хабр, киберспорт;
• Спорт: футбольный, волейбольный и баскетбольный клубы, частичная компенсация затрат на спорт;
• Здоровье: ДМС, включая стоматологию и страхование родственников, врач в офисе, сервис Понимаю (психологические и юридические консультации);
• Партнерские программы и скидки для сотрудников: в магазинах-партнерах, фитнес-клубах, на образовательных платформах, на досуговые мероприятия;
• Собственный комфортный офис, где есть место не только для работы, но и для спорта и отдыха: спортзал, салон красоты, летний коворкинг на крыше;
• Питание: столовая, оборудованные кухни, кофейный киоск, вендинговые аппараты здоровой еды.