职位描述

信息安全合规分析师负责维护组织的信息安全合规状态，通过管理安全文档、支持审计和确保生产信息系统的安全控制的一致性。此角色与技术及运营利益相关者密切合作，确保安全要求被准确记录、可审计且与监管和组织期望对齐，同时支持风险管理和持续监控活动。该职位需要维护和更新信息安全政策、标准和程序，以符合现代网络安全框架和监管要求，包括GovRAMP、FedRAMP、ISO 27001、PCI DSS和SOC 2。需要维护系统安全计划（SSPs）以确保系统边界、控制实施和控制继承准确反映生产系统的当前状态。需要协调和管理内部和外部合规性评估活动，包括审计规划、审计现场工作协调、证据收集和保存以及审计响应支持。需要管理持续监控活动，包括跟踪、更新和报告计划行动和里程碑（POA&Ms）以支持风险修复和安全状态沟通。需要支持风险评估和控制差距分析，通过识别安全和合规性缺陷并与利益相关者合作定义修复方法。需要定义、跟踪和报告关键合规性指标以衡量项目有效性并沟通合规状态给领导和治理委员会。需要与工程、运营和生产团队密切合作，确保安全要求被记录、一致实施并保持审计准备。需要开发和维护审计准备证据库以支持可重复、高效的合规性评估并减少审计周期时间。需要为系统所有者和控制所有者提供关于合规性期望、文档标准和控制实施要求的指导。其他由领导分配的职责。

任职要求

我们需要具备网络安全、信息安全、信息系统或相关领域的学士学位（优先），或等同于专业经验的候选人。3-5年在信息安全合规、网络安全保证、GRC或相关领域的经验。具有管理系统安全计划（SSPs）和相关文档经验的企业系统经验。具有支持合规性审计和认证经验，包括NIST 800-53（FedRAMP/GovRAMP）、ISO 27001、PCI DSS和/或SOC 2。对现代信息安全合规框架和基于控制的安全程序（如NIST 800-53、ISO 27001、SOC 2）有深入理解。能够解读监管和合规性要求并将其转化为清晰、可操作的文档。具备强大的分析、写作和组织能力，具有极高的细节关注。具备同时管理多个合规性活动能力，同时满足截止日期和质量期望。