Grc Cybersecurity Analyst

Oplium; Marta; In loco; EUR 27.000 - 37.000; Tempo pieno

Descrizione del lavoro

Oplium cerca un professionista con solida esperienza nell'analisi del rischio ICT, capace di gestire end-to-end risk assessment su asset reali in contesti strutturati. Il candidato implementerà piani di remediation e monitoraggio, coordinando controlli conforme a framework quali NIS2, DORA, ISO 27001 e CIS Controls.

Si richiede minimo 2 anni di esperienza, buona conoscenza di metodologie di gestione del rischio e capacità di dialogo con tecnici e management.

Competenze

• Almeno 2 anni in cybersecurity, ICT risk management o info security in contesti strutturati.
• Conoscenza metodologie di analisi del rischio: OCTAVE, FAIR, ISO 27005, NIST RMF.
• Conoscenza pratica di soluzioni di sicurezza (firewall, EDR/XDR, SIEM/SOAR, IAM, network security).
• Capacità di dialogare con tecnici e management.
• Redazione completa di risk assessment: asset inventory, threat modeling, piano di trattamento.
• Familiarità con normative Cyber Security: ISO 27001 Annex A, CIS Controls, NIST CSF 2.0, SP 800-53.
• Buon inglese scritto e parlato.

Mansioni

• Assessment e caratterizzazione degli asset.
• Interviste strutturate e checklist per la caratterizzazione degli asset.
• Valutazione esposizione asset e mappatura dipendenze con processi critici.
• Identificazione e classificazione scenari di rischio coerenti con la risk posture aziendale.
• Selezione dei controlli e validazione tecnica.
• Validazione delle proposte tecniche e adeguatezza agli scenari di rischio.
• Identificazione dei controlli non soddisfatti e valutazione del rischio residuo.
• Remediation, piani di sicurezza e monitoraggio.
• Definizione di piani di remediation strutturati e rendicontazione agli stakeholder.
• Supporto all'aggiornamento della risk posture aziendale.

Conoscenze

Risk assessment

OCTAVE

FAIR

ISO 27005

NIST RMF

GRC tools

Stakeholder communication

Risk remediation planning

Cloud risk (AWS/GCP)

English proficiency

Formazione

CISM

CRISC

ISO 27001 Lead Auditor/Implementer

CISSP

Strumenti

OneTrust

ServiceNow GRC

Archer

Balbix

AI.ESRA

Descrizione del lavoro

Scopra di più sulle mansioni generali e sulle competenze richieste per questa opportunità leggendo di seguito.

Cerchiamo un professionista con esperienza reale nell'analisi del rischio ICT: non familiarità generica, ma chi ha già gestito nella pratica l'execution di processi di ICT Risk Management conducendo cicli completi di risk assessment su asset reali, in contesti organizzativi articolati. Entrerai a far parte del team con un perimetro chiaro: dalla caratterizzazione degli asset ICT al monitoraggio dei piani di remediation, passando per selezione dei controlli e validazione tecnica.

Responsabilità principali

Assessment e caratterizzazione degli asset

• Interviste strutturate e checklist per la caratterizzazione degli asset (dati trattati, rilevanza business, classificazione RID, processi supportati...)
• Valutazione esposizione asset e mappatura dipendenze con processi critici
• Identificazione e classificazione scenari di rischio coerenti con la risk posture aziendale

Selezione dei controlli e validazione tecnica

• Selezione dell'insieme di controlli necessari per far fronte alle esigenze di sicurezza e ai requisiti di compliance, con riferimento ai principali framework normativi: NIS2, DORA, Cyber Resilience Act (CRA), oltre a standard quali ISO 27001 e CIS Controls
• Validazione delle proposte tecniche, valutazione adeguatezza agli scenari di rischio, anche alla luce delle soluzioni di sicurezza effettivamente disponibili e implementabili
• Identificazione dei controlli non soddisfatti e valutazione del rischio residuo

Remediation, piani di sicurezza e monitoraggio

• Definizione di piani di remediation strutturati (priorità, responsabilità, tempistiche)
• Monitoraggio continuativo dell'execution e rendicontazione agli stakeholder
• Supporto all'aggiornamento della risk posture aziendale

Requisiti richiesti (essenziali)

• Almeno 2 anni in cybersecurity, ICT risk management o info security in contesti strutturati
• Conoscenza delle metodologie di analisi del rischio: OCTAVE, FAIR, ISO 27005, NIST RMF (non solo conoscenza teorica)
• Conoscenza pratica delle principali soluzioni di sicurezza (es. firewall, EDR/XDR, SIEM/SOAR, soluzioni IAM, network security) utile a valutare l'adeguatezza e l'efficacia dei controlli proposti rispetto agli scenari di rischio
• Capacità di dialogare con tecnici (sistemisti, architect, DevSecOps) e management
• Redazione completa di risk assessment: da asset inventory / threat modeling a piano di trattamento
• Familiarità con le principali normative inerenti la Cyber Security e conoscenza dei cataloghi di controlli come ad esempio: ISO 27001 Annex A, CIS Controls, NIST CSF 2.0, SP 800-53
• Buon inglese (scritto e parlato)

Esperienze distintive (forte preferenza)

• Applicazione di analisi dei rischi in ambienti Cloud – in particolare AWS e GCP (es. configurazione, conformità, valutazione rischi su servizi cloud-native)
• Progetti di adeguamento NIS2 o DORA in settori regolamentati
• Conoscenza di Strumenti GRC come ad esempio: OneTrust, ServiceNow GRC, Archer, AI.ESRA, Balbix o equivalenti
• Gestione di piani di remediation complessi multi-funzione
• Certificazioni: CISM, CRISC, ISO 27001 Lead Auditor/Implementer, CISSP
• Esperienza in attività di TPRM e conoscenza degli strumenti a supporto, come ad es.: Panorays, Bitsight, Security Scorecar...

Profilo personale

Cerchiamo chi abbia già svolto questo ruolo in modo concreto e operativo, nello specifico: chi ha gestito in autonomia un risk assessment end-to-end – dall'intervista iniziale con i process owner fino alla stesura e firma del piano di remediation. Non cerchiamo chi ha partecipato come supporto, osservato o contribuito parzialmente. Vogliamo qualcuno che abbia guidato il processo, anche in contesti non maturi e/o strutturati e con asset poco documentati. Per noi, la capacità di lavorare con metodo, di non fermarsi davanti a informazioni incomplete e di saper gestire interlocutori tecnici che propongono soluzioni insufficienti vale più di qualsiasi certificazione.

Se la tua esperienza sul risk assessment è prevalentemente teorica, accademica o da aula, questo ruolo probabilmente non fa per te in questo momento!

• Contratto di assunzione a Tempo indeterminato con applicazione del CCNL Metalmeccanico Industria.
• Per questa posizione è prevista una fascia retributiva pari a € 27.000 - € 37.000 lordi annui in coerenza con il CCNL applicato, il livello di inquadramento previsto delle griglie di riferimento per il ruolo professionale proposto.
• Il posizionamento all'interno della fascia sarà determinato sulla base di criteri oggettivi e neutrali rispetto al genere, tra cui l'esperienza maturata e livello delle competenze tecniche rilevanti rispetto al ruolo proposto.

L'offerta è rivolta a candidati di entrambi i sessi (L.903/77 – L.125/91). Oplium promuove un ambiente di lavoro inclusivo e assicura pari opportunità di impiego a tutte le persone, indipendentemente da genere, età, nazionalità, cultura, orientamento personale o credo.