Information System Security Officer (ISSO) / RMF Analyst

О позиции

Вакансия в крупной оборонной компании CACI предлагает возможность работать над критически важными государственными проектами по защите национальной безопасности. Вы будете частью команды экспертов по кибербезопасности, занимаясь управлением рисками, аудитом систем безопасности и обеспечением соответствия стандартам DoD. Это отличная платформа для профессионального роста в области Governance, Risk and Compliance (GRC) с чёткой карьерной траекторией к руководящим должностям.

Чем заниматься

• Разработка и актуализация планов безопасности систем (SSP)
• Управление планами действий и этапов (POA&Ms) от выявления до закрытия
• Подготовка и подача пакетов на Авторизацию работы (ATO)
• Выполнение мониторинга непрерывного контроля согласно стратегии RMF
• Работа с платформой eMASS для управления комплаенс-активностями и рабочими процессами RMF
• Координация взаимодействия с инженерами ISSE и командами операционного управления
• Разработка планов оценки безопасности (SAP) и поддержка подготовки SAR
• Планирование документирования управления рисками цепочки поставок
• Поддержка инициатив кибергovernance и стратегического планирования RMF
• Отслеживание статуса авторизации, метрик соответствия и деятельности по устранению уязвимостей

Что ждут

• Действующий допускающий уровень Secret или Top Secret
• Соответствие промежуточным образовательным требованиям DoD 8140
• 3-5 лет опыта поддержки RMF, ATO или комплаенса в госсекторе/DoD
• Практический опыт работы с eMASS
• Знание NIST SP 800-53 Rev. 5 и процессов Continuous Monitoring
• Опыт самостоятельной разработки SSP
• Доказанный навык управления POA&Ms через весь цикл
• Аналитические и организационные способности, решение проблем
• Коммуникационные навыки с техническими и нетехническими стейкхолдерами
• База сертификаций DCWF Basic Tier (RMF, ATO, eMASS, SSP, POA&M, Monitoring, NIST, GRC)
• Бакалавр по кибербезопасности, CS, IT или смежной области (желательно)
• Сертификации Intermediate Tier желательны (CEH-P, Security+, Cloud+ и др.)

Будет плюсом

• Опыт использования eMASSer или других инструментов автоматизации RMF
• Поддержка облачных, гибридных или сложных корпоративных границ авторизации
• Знакомство с DoD RMF Knowledge Service
• Опыт крупных федеральных программ кибербезопасности
• Понимание принципов управления рисками цепочки поставок
• Опыт коллаборации с инженерными, операционными и архитектурными командами

Условия

• Работа над критически важными миссиями национальной безопасности
• Культура целостности и инноваций в сильной команде
• Гибкий график и гибкие отпускные льготы
• Доступ к ресурсам обучения и развития
• Конкурентоспособная компенсация и comprehensive benefits (медицина, ретirement, семейная поддержка)
• Чёткий карьерный путь к руководящим GRC-ролям
• Возможность работать в более чем одной локации
• Равные возможности трудоустройства (EOE)

Навыки

• Risk Management Framework
• eMASS
• NIST SP 800-53
• System Security Planning
• POA&M Management
• Authorization to Operate
• Continuous Monitoring
• DoD Cybersecurity Compliance
• Security Assessment Planning
• Security Assessment Reporting
• Supply Chain Risk Management
• GRC
• DCWF
• Clearance Administration
• Compliance Documentation

Могут спросить на собеседовании

1. Как вы обычно подходите к разработке System Security Plan (SSP) для новой системы?
2. Опишите ваш опыт управления POA&M от выявления до закрытия.
3. С каким опытом работы с eMASS вы можете поделиться? Какие процессы вы автоматизировали?
4. Как вы обеспечиваете соответствие NIST SP 800-53 Rev. 5 в рамках Continuous Monitoring?
5. Приведите пример конфликта интересов между безопасностью и оперативной готовностью системы. Как вы его решали?