Руководитель направления информационной безопасности

Trivio — онлайн-сервис , который помогает компаниям оптимизировать тревел-расходы, упрощая процесс организации деловых поездок. Наша команда создала и развивает IT-платформу, интегрированную со множеством поставщиков туристического контента: авиа и железнодорожные билеты, отели, трансферы, такси и многое другое. Продукт Trivio уже помогает оптимизировать процесс командировок более 4 000 компаний. Ежедневно наши клиенты оформляют от 10 000 поездок и тратят на одно бронирование менее 2 минут.

• Формировать стратегию информационной безопасности, проводить оценку текущего состояния и подготовить реалистичный план улучшений
• Развивать систему управления информационной безопасностью в соответствии с ISO 27001 и требованиями применимых юрисдикций
• Управлять рисками информационной безопасности, вести реестр рисков и поддерживать политики и обязательные меры защиты в актуальном состоянии
• Готовить компанию к аудиту SOC 2 и международным требованиям корпоративных клиентов. Сопровождать аудиторов, собирать подтверждающие материалы и устранять замечания
• Совместно с юридической службой обеспечивать соблюдение GDPR и требований к персональным данным. Развивать подход privacy by design, включая трансграничную передачу данных, локализацию, DPA и работу с подрядчиками
• Отвечать на анкеты по информационной безопасности, участвовать в RFP/RFI и сопровождать проверки со стороны клиентов и партнёров
• Представлять функцию информационной безопасности на встречах с зарубежными клиентами и аудиторами на английском языке
• Определять целевую модель команды, бюджет и распределение задач между внутренними сотрудниками и внешними поставщиками услуг
• Развивать Secure SDLC, AppSec и управление уязвимостями
• Определять требования к SAST, DAST, SCA, secrets scanning и threat modelling
• Проводить проверку архитектуры совместно с командами разработки, DevOps и SRE
• Помогать принимать решения по безопасности облачной инфраструктуры, IAM, Kubernetes, контейнеров, логирования и управления секретами
• Организовывать penetration testing и контролировать устранение выявленных уязвимостей
• Проводить оценку безопасности облачных сервисов, поставщиков и других внешних подрядчиков
• Развивать процессы реагирования на инциденты, требования к логированию и мониторингу безопасности. При необходимости организовывать взаимодействие с SOC/MSSP
• Проводить разборы инцидентов и учебные сценарии, чтобы улучшать процессы и снижать повторяемость рисков
• Формировать практические правила безопасного использования AI во внутренних инструментах и продукте. Учитывать риски утечки данных, prompt injection, контроль доступа, безопасность AI-поставщиков

• Опыт в информационной безопасности от 7 лет. Опыт на уровне Senior / Lead / Head либо самостоятельное управление крупным направлением
• Опыт работы в продуктовой IT-компании, SaaS, fintech, travel-tech, e-commerce или другом цифровом бизнесе
• Практический опыт с ISO 27001 и GDPR. Понимание SOC 2 и международных требований корпоративных клиентов
• Понимание российского законодательства в области персональных данных и информационной безопасности, включая 152-ФЗ
• Хорошее понимание современных web/cloud-архитектур, AppSec, Secure SDLC, OWASP, облачной безопасности, IAM, Kubernetes, управления секретами и уязвимостями
• Опыт оценки рисков, проверки архитектуры и построения понятного плана развития информационной безопасности
• Практический опыт обеспечения безопасности Azure или Kubernetes, опыт работы с PCI DSS, управления рисками поставщиков или privacy engineering
• Понимание процессов реагирования на инциденты, SIEM/SOC и мониторинга безопасности
• Английский на уровне C1 или близком к нему. Необходимо свободно проводить встречи с зарубежными клиентами и аудиторами, обсуждать архитектуру и меры защиты, вести переписку и отвечать на анкеты по информационной безопасности; (или б2 разговорный)
• Умение переводить security-риски в понятные бизнес-решения: объяснять варианты, стоимость внедрения и остаточный риск
• Будет плюсом: Опыт самостоятельного прохождения сертификации ISO 27001 и аудита SOC 2 Type I / Type II; Опыт работы с европейскими или американскими корпоративными клиентами и в международной SaaS-компании; Опыт построения функции информационной безопасности с нуля или её существенной трансформации; Опыт AI Security / AI Governance. Знание рисков LLM security, OWASP Top 10 for LLM Applications, NIST AI RMF, EU AI Act или ISO/IEC 42001; Сертификаты CISSP, CISM, CISA, CCSP, ISO 27001 Lead Implementer / Lead Auditor, CIPP/E или CIPM — они не заменяют практический опыт

• Полное соблюдение ТК РФ (оформление с первого рабочего дня, белая зп, оплачиваемые отпуска и больничные)
• Работу в аккредитованной IT компании со статусом в Минцифры
• Для желающих работать в офисе - уютный современный офис рядом с метро Тульская: комфортные рабочие места, кофе/чай для всех сотрудников и фрукты по пятницам :)
• График работы 5/2 с 10:00 до 19:00
• ДМС (расширенная программа, которая включает в себя стоматологию и психолога помимо основного пакета)
• Современные подходы к бизнесу, возможность предлагать и внедрять новые идеи и решения
• Возможность построить и развивать функцию информационной безопасности в сильном IT-продукте для B2B travel
• Прямое влияние на безопасность продукта, международные продажи и доверие корпоративных клиентов
• Широкую зону ответственности. В неё входят стратегия, процессы, технические решения, подрядчики и будущая команда
• Классная система наставничества: помощь с адаптацией и интеграцией в компанию (не только от коллег из Вашего отдела)
• Насыщенная корпоративная культура: активности для офисных и удалённых сотрудников, корпоративные мероприятия и встречи All Hands
• Разнообразные форматы досуга: праздничные и вечерние мероприятия (настольные игры, квартирники, мастер-классы)
• Клубы и комьюнити по интересам: чаты (в т.ч. про питомцев), Trivio English Club, квиз-клуб (с оплатой участия компанией), «Рекомендалошная», Random Coffee и др
• Дружелюбная среда, где легко находить единомышленников и участвовать в жизни компании. Также наши сотрудники могут предлагать свои идеи и запускать новые активности :)
• Программа рекомендаций сотрудников – за каждого приведенного сотрудника в компанию, который успешно прошел испытательный срок, выплачиваем приятный бонус
• Уровень заработной платы обсуждается с кандидатом на финальном интервью