GRC Specialist - Junior / Middle

Должностные обязанности

Участие во внедрении, поддержании, развитии и непрерывном совершенствовании системы управления информационной безопасностью Банка (ISMS).

Участие в выявлении, оценке, обработке и мониторинге рисков информационной безопасности и кибербезопасности; ведение и регулярное обновление реестра рисков информационной безопасности (Risk Register).

Участие в разработке, пересмотре и актуализации политик, стандартов, процедур, руководств и других внутренних нормативных документов по информационной безопасности, а также в контроле версий документов.

Участие в обеспечении соответствия деятельности Банка стандартам ISO/IEC 27001 и ISO/IEC 27002, законодательству Республики Армения, требованиям Центрального банка Республики Армения и другим применимым нормативным и внутренним требованиям.

Участие в определении и документировании применимых мер контроля информационной безопасности (Security Controls), а также в оценке их внедрения и эффективности.

Участие во внутренних и внешних аудитах, оценках соответствия и процессах сертификации: сбор, анализ, систематизация и представление необходимой информации и подтверждающих материалов (Evidence).

Регистрация и контроль несоответствий (Nonconformities), замечаний и рекомендаций по улучшению, выявленных в ходе аудитов, оценок соответствия и других проверок.

Контроль статуса выполнения мероприятий по устранению выявленных недостатков, планов обработки рисков и корректирующих действий (Corrective Actions), а также контроль ответственных лиц и установленных сроков.

Участие в оценке рисков информационной безопасности новых информационных систем, сервисов, проектов и существенных технологических изменений.

Участие в оценке рисков информационной безопасности третьих сторон, поставщиков и организаций, предоставляющих услуги (Third-Party / Vendor Risk Assessment), а также в определении соответствующих требований безопасности.

Участие в разработке, сборе и анализе показателей, связанных с процессами информационной безопасности, мерами контроля, рисками и соответствием требованиям (Metrics / KPI / KRI).

Подготовка периодической отчетности и материалов для руководства по вопросам рисков информационной безопасности, соответствия требованиям, аудитов, мер контроля и корректирующих мероприятий.

Участие в разработке и реализации программ повышения осведомленности сотрудников Банка в области информационной безопасности (Security Awareness).

Взаимодействие с Управлением и другими подразделениями Банка по вопросам требований информационной безопасности и GRC-процессов.

Требования к образованию и навыкам

Знания и/или практический опыт в области Information Security GRC, информационной безопасности, ИТ-рисков, ИТ-аудита, Compliance, внутреннего контроля или смежных областях. Для уровня Middle предпочтителен опыт работы по соответствующему направлению не менее 2 лет.

Высшее образование или эквивалентный профессиональный опыт в области информационной безопасности, кибербезопасности, информационных технологий, компьютерных наук, управления рисками, аудита или смежных областях.

Знание стандартов ISO/IEC 27001 и ISO/IEC 27002, системы управления информационной безопасностью (ISMS) и основных принципов управления информационной безопасностью.

Понимание основных процессов управления рисками информационной безопасности: Risk Identification, Risk Assessment, Risk Treatment, Risk Acceptance и Risk Monitoring.

Понимание основных принципов мер контроля информационной безопасности (Security Controls), их целей, внедрения и оценки эффективности.

Общее представление о разработке политик, стандартов, процедур и других внутренних нормативных документов по информационной безопасности или опыт работы с ними.

Знание основных принципов аудита и оценки соответствия, сбора и хранения подтверждающих материалов (Evidence), а также процессов Audit Findings / Nonconformities и Corrective Actions.

Общее понимание ключевых процессов ИТ и информационной безопасности, включая Access Control, Identity & Access Management, Network Security, Vulnerability Management, Incident Management, Logging & Monitoring, Change Management, Backup, Business Continuity и Disaster Recovery.

Способность изучать и анализировать законодательные и нормативные требования Республики Армения в области информационной безопасности и кибербезопасности, а также оценивать их применимость к процессам Банка.

Способность анализировать, систематизировать и четко документировать большие объемы информации.

Навыки подготовки и структурированного представления официальных документов, включая политики, процедуры, отчеты и оценки рисков.

Способность объяснять технические требования и риски информационной безопасности понятным для бизнеса языком.

Аналитическое и системное мышление, внимательность к деталям, ответственность, организованность и умение соблюдать установленные сроки.

Способность эффективно взаимодействовать и сотрудничать с техническими и нетехническими подразделениями.

Умение надлежащим образом работать с конфиденциальной информацией и информацией ограниченного доступа, соблюдая требования профессиональной этики.

Будет преимуществом

Опыт работы в области Information Security GRC, IT Risk, IT Audit, Internal Control или Compliance в банковской, финансовой или другой регулируемой организации.

Опыт участия во внедрении и поддержании ISO/IEC 27001:2022, процессах сертификации, надзорных или внутренних аудитах.

Знание требований Центрального банка Республики Армения в области информационной безопасности, кибербезопасности, ИТ и операционных рисков.

Знание стандартов и методологий ISO/IEC 27005, ISO 31000, NIST Cybersecurity Framework (CSF), NIST Risk Management Framework (RMF), CIS Controls и COBIT.

Знание требований PCI DSS и SWIFT Customer Security Controls Framework (CSCF) или опыт работы с ними.

Опыт реализации процессов управления рисками третьих сторон и поставщиков (Third-Party / Vendor Risk Management).

Опыт работы с документацией GRC, включая реестры рисков информационной безопасности (Information Security Risk Register), матрицы мер контроля (Control Matrix), заявления о применимости (Statement of Applicability, SoA), реестры аудиторских замечаний и корректирующих действий (Audit / Corrective Action Tracker) и другие документы.

Опыт работы с GRC-платформами или системами управления рисками и соответствием требованиям (Risk / Compliance Management).

Опыт разработки показателей информационной безопасности, KPI/KRI и отчетности для руководства.

Наличие профессиональных сертификатов: ISO/IEC 27001 Foundation, ISO/IEC 27001 Lead Implementer / Lead Auditor, CISA, CRISC, CISM или аналогичных.

Участие в профессиональных курсах и программах обучения ISACA, ISC2, PECB, BSI, SANS Institute или других авторитетных организаций в области управления информационной безопасностью, риск-менеджмента, аудита и Compliance.

Что мы ожидаем от кандидата

Системный и аналитический подход к управлению информационной безопасностью, способность понимать, анализировать и документировать риски и требования соответствия, а также готовность постоянно развивать знания в области Information Security GRC, Risk Management и Compliance.

Кандидат должен понимать не только наличие требования или меры контроля, но и их назначение, связанные с ними риски и практическое применение. Важны способность эффективно взаимодействовать с техническими и нетехническими подразделениями и умение преобразовывать требования информационной безопасности в практические, измеримые и контролируемые мероприятия.

Основной акцент сделан на Penetration Testing, а направление Red Team / Adversary Emulation рассматривается как дополнительное и постепенно развиваемое.

Сроки приема заявок

Начало: 2 сентября 2026 года

Окончание: 15 октября 2026 года