Security Engineer
(ISO 27001)
Poszukujemy osoby z doświadczeniem w Security, która lubi mieć wpływ i nie boi się odpowiedzialności. Jeśli wdrażanie ISMS/GRC, budowanie procesów i dbanie o techniczne bezpieczeństwo to Twój żywioł - u nas dostaniesz przestrzeń, by wziąć ten obszar pod swoje skrzydła i nadać mu właściwy kurs. Liczymy, że dzięki Twojej eksperckiej wiedzy, wdrażaniu najlepszych praktyk i nieustannemu wsparciu wspólnie zbudujemy dojrzały i skuteczny obszar bezpieczeństwa.
Ze względu na charakter stanowiska (obejmujący bezpieczeństwo fizyczne i wdrożenia on-site), preferujemy współpracę w modelu hybrydowym z Krakowa. Możliwa jest również współpraca zdalna z Polski, połączona z regularną obecnością w biurze.
Budujemy otwarte i inkluzywne środowisko, w którym każdy może czuć się sobą. Zapraszamy do kontaktu wszystkie osoby - bez względu na płeć, wiek, pochodzenie, orientację, wyznanie czy sprawność.
Nasze atuty
- Niesztampowa agencja e-commerce z polsko-niemieckim flow, która od ponad ćwierćwiecza z sukcesami rządzi na rynku
- Ponad setka pasjonatów, realizujących ambitne projekty
- Każda osoba w firmie (łącznie z zarządem!) ma techniczny background i ogarnia internety
- W większości działamy w Polsce (Kraków, Rybnik), mamy też rzut beretem na Oktoberfest (Monachium, Hamburg)
- Robimy tylko fajne projekty, nie bierzemy crapu po kimś…
- Nie chodzimy na skróty i nie uznajemy bylejakości. Dzięki temu zbudowaliśmy pozycję lidera i zdobyliśmy liczne nagrody (np. Shop Usability Award). W tym roku rozbiliśmy bank! Zdobyliśmy tytuł Agencji Roku plus 2 wspólne zwycięstwa z klientami: #BestCustomerExperience (benuta) i #BestMobileExperience (Bergzeit)
- Używamy komercyjnych narzędzi: Slack, Jira, Confluence
- Komunikujemy się po angielsku, niemiecku i polsku. Ale mamy też osoby ze Śląska, więc jak trzeba, to się i pogodo 😅
- Nasi klienci pochodzą głównie z rynku DACH. Na co dzień jesteśmy z nimi w kontakcie, a bardziej złożone tematy przejmują osoby zarządzające projektami
- W creativestyle mamy 50% wolności i 50% odpowiedzialności
- Błędy to dla nas lekcje i część procesu, a nie powód do szukania winnych. Dajemy sobie przestrzeń na pomyłki, starając się nie wchodzić kilka razy do tej samej rzeki 😉
- Dwukrotnie zostaliśmy wyróżnieni w HappyAtWork Index - niezbity dowód, że piracka załoga projektowa jest zadowolona, a "beczka rumu" nigdy nie wysycha
- Niezawodność, Empatia i Ciekawość (firmowe drogowskazy) prowadzą nas lepiej niż Google Maps. Zawsze wracamy do portu
- Co nas wyróżnia technicznie, czyli w czym wymiatamy
- Twój rozwój = nasz rozwój! Z dumą nadmieniamy, że nasz projekt "Cyber Sailors rozwijają żagle" znalazł się na podium i został nagrodzony pierwszym miejscem w kategorii "Rozwój talentów w organizacji" w konkursie HR Dream Team 2024
- Nasze DNA zbadasz tutaj
Oferujemy
-
Jeżeli ogłoszenie wywołuje u Ciebie entuzjazm i odnajdujesz w nim siebie i swój skillset, to zdecydowanie powinniśmy się poznać i porozmawiać. O widełkach również 🙂 Dla UoP przewidujemy wynagrodzenie w granicach 20 000 - 27 000 brutto PLN, jednak jego finalna wysokość jest ściśle związana z Twoją wiedzą, doświadczeniem, zaangażowaniem oraz dbałością o jakość współpracy. Rola wiąże się z szerokim dostępem uprzywilejowanym, podejmowaniem decyzji w obszarze bezpieczeństwa oraz stałą współpracą z organizacją - dlatego umowa o pracę daje obu stronom najbardziej przejrzyste i stabilne ramy współpracy.
-
Preferujesz współpracę w modelu B2B? Możemy ją wspólnie omówić. Ze względu na charakter roli, warunki ustalamy indywidualnie. Zaznacz to w formularzu. W kolejnym kroku wrócimy do Ciebie, żeby doprecyzować szczegóły.
BENEFITY PRACOWNICZE:
- Ludzie i atmosfera. Wiemy, semantycznie to nie jest benefit. Ale te dwa słowa ZAWSZE padają w odpowiedzi na pytanie „Co cenisz w CS?”, więc zostawiamy
- Home office. Spokojnie - świat się nie zawali, jeśli czasem podziałasz z domu
- Indywidualny budżet szkoleniowy (3 000 PLN/rok siana do rozhulania) i kursy językowe. Twój rozwój = nasz rozwój
- MacBook Pro, wszystkie niezbędne peryferia i wielki monitor
- Medicover + Multisport Plus (Rybnik - siłownia w biurowcu K1, wystarczy wsiąść do windy; Kraków - 4 minuty spacerkiem)
- W biurach: konsole do gier oraz liga bilardowa/ ping-pongowa, tematyczny lunch raz w miesiącu
- Loftowe przestrzenie - mielimy kod w starym młynie na Zabłociu. Jest przestrzennie, komfortowo i stylowo. Mamy też rooftop!
- Łatwy dojazd - możesz przyjechać rowerem, przybyć na koniu, szybkim tramwajem, pociągiem (Stacja: Kraków Zabłocie). Haery przylatują na miotłach
- CS-owa wypożyczalnia sprzętu - potrzebujesz głośników? A może chcesz nagrać podcast w firmowym mini-studio? Korzystaj śmiało. „Firmowe” nie znaczy „niedostępne”
- Jeszcze więcej dobra
Twoje zadania
STRATEGICZNE I OPERACYJNE DZIAŁANIA - ISMS (~60%)
- Zarządzanie i prowadzenie procesu zarządzania ryzykiem: organizacja warsztatów ryzyka, utrzymywanie Rejestru Ryzyk i Planu Postępowania z Ryzykiem oraz przygotowywanie Deklaracji Stosowania (Statement of Applicability, SoA)
- Tworzenie, utrzymywanie i przegląd polityk oraz procedur bezpieczeństwa we współpracy z właścicielami procesów w całej organizacji
- Wspieranie procesu audytowego poprzez zbieranie i organizowanie dokumentacji oraz obsługę cyklicznych działań ISMS
- Prowadzenie przygotowań do audytu certyfikacyjnego oraz wsparcie audytów wewnętrznych, zewnętrznych i audytów klientów
- Zarządzanie procesem oceny bezpieczeństwa klientów i przeglądów bezpieczeństwa dostawców
- We współpracy z HR dbasz o to, żeby bezpieczeństwo było naturalną częścią codziennej pracy
- Odpowiedzialność za roadmapę bezpieczeństwa oraz rozwój funkcji security w organizacji w dłuższej perspektywie (priorytety, wkład w planowanie budżetu, przyszłe rekrutacje)
IMPLEMENTACJA TECHNICZNA (~40%)
- Odpowiedzialność za wdrażanie i utrzymanie systemów MDM/EDR, w tym Apple Business Manager dla macOS, bazowe hardeningi oraz szyfrowanie dysków, we współpracy z zespołem Internal IT
- Hardening i monitoring środowiska self-hosted GitLab, centralizacja logów i monitoringu oraz zarządzanie podatnościami
- Reagowanie na incydenty: opracowywanie procedur, koordynacja przebiegu incydentów oraz wyciąganie wniosków w ramach analiz poincydentowych (post-mortem)
- Wsparcie bezpiecznego SDLC (SAST/SCA w CI/CD oraz secrets management) we współpracy z zespołami technologicznymi
- Współodpowiedzialność za bezpieczeństwo fizyczne biur (od kontroli dostępu po monitoring), we współpracy z działem Office
JESTEŚ NASZYM CZŁOWIEKIEM, JEŚLI:
- Masz na swoim koncie 5+ lat w security IT, w tym 2+ lata z ISO 27001 ISMS (wdrożenie lub utrzymanie certyfikacji)
- Możesz się pochwalić sporym doświadczeniem w pracy z ryzykiem: od analizy, przez prowadzenie rejestru, aż po planowanie działań ograniczających ryzyka
- oraz praktycznym doświadczeniem w kilku z poniższych obszarów: administracja MDM (Jamf / Intune / Mosyle), EDR/antymalware, hardening Linux, bezpieczeństwo GitLab/CI-CD, podstawy bezpieczeństwa AWS oraz centralne logowanie i monitoring
- Twoim atutem jest znajomość RODO w kontekście bezpieczeństwa informacji (art. 28, 32, 33 oraz DPIA w podejściu operacyjnym, a nie prawnym)
- Znasz się na bezpieczeństwie aplikacji webowych (OWASP Top 10, praktyki secure SDLC) na poziomie umożliwiającym współtworzenie standardów bezpieczeństwa z zespołami technologicznymi
- Cechuje Cię wysoka autonomia - swoboda w podejmowaniu decyzji dotyczących bezpieczeństwa i gotowość do brania za nie pełnej odpowiedzialności
- Biegle posługujesz się językiem polskim oraz angielskim i nie masz oporów przed mówieniem (kontakt z zagranicznym zespołem projektowym i partnerami wymaga codziennych rozmów w tym języku)
BONUSOWE PUNKTY ZGARNIASZ:
- Za certyfikaty: ISO 27001 Lead Implementer / Lead Auditor (najmilej widziane), CISSP, CISM, CRISC
- Jeśli masz doświadczenie w software house lub agencji, gdzie działa się w modelu kontraktowym, obsługując wielu klientów i dzieląc odpowiedzialność za efekty współpracy
- Gdy bliski jest Ci świat e-commerce (Magento / Shopware) oraz podstawy PCI-DSS z perspektywy dostawcy usług
- Za znajomość NIS2 / DORA / AI Act; język niemiecki; doświadczenie w audytach bezpieczeństwa klientów
- Masz za sobą co najmniej jedno wdrożenie ISO 27001 w pełnym cyklu. Od zera do certyfikacji
Nie musisz mieć doświadczenia w OSCP, pentestingu, SOC 24/7 ani architekturze bezpieczeństwa enterprise. To nie jest kierunek tej roli.
Co dalej
Tylko 3 kroki dzielą Cię od podpisania umowy z nami. Dołożymy wszelkich starań, by proces był bezbolesny i sprawny, niczym gimnastyczka na igrzyskach olimpijskich. Co jeśli Twój formularz przykuje naszą uwagę?
- Zadzwonimy do Ciebie, przedstawimy się grzecznie i konkretnie porozmawiamy (poruszymy podstawowe kwestie, sprawdzimy znajomość angielskiego, odpowiemy na Twoje pytania).
- Spotkamy się (face2face lub online) - omówimy kwestie techniczne i sprawdzimy czy do siebie pasujemy.
- Moment na obustronne decyzje. Niezależnie od decyzji, możesz liczyć na naszą odpowiedź.
Warunkiem przystąpienia do kolejnych etapów jest, podobnie jak w grze komputerowej, pomyślne przejście poprzedniego. Jednocześnie informujemy, że do rozmów zaprosimy wybrane osoby.
