工作目标：
该职位需要一位技术专家，具备在大型企业环境中设计和实施信息安全技术解决方案的广泛经验。他们必须能够作为技术领导者支持人才发展和建设高绩效团队。作为一名有效的协作者，网络安全专家将与包括高级网络工程师、系统架构师和其他团队在内的关键利益相关者密切合作，以实施有效的业务解决方案。成功的候选人不仅在信息安全及相关服务方面具有深厚而广泛的背景，还需了解最新的最佳实践和服务趋势，特别是云计算的各个方面。
- 安全系统的开发、测试、分析和实施
- 系统漏洞评估和管理
- 应对安全威胁、攻击和类似事件
- 威胁预防策略的开发
- 使用行业标准安全工具协调和进行黑盒/白盒安全评估
- 定期为高管和管理员生成报告
- 遵守健康、安全和环境政策（所有人必须遵守）
- 风险管理（强制性；由直线经理酌情决定）
- 独立处理技术问题并推荐设计解决方案。
- 展示对基础设施、虚拟化、网络安全标准和操作程序的扎实理解。
- 与网络安全团队的其他成员合作，开发新的协议、保护层和其他主动和防御系统，以始终领先于网络犯罪分子。
- 维护安全指南、程序、标准和控制文档
- 保持对当前网络犯罪策略的工作知识。
- 领导当前技术环境的分析，以检测关键缺陷并推荐改进解决方案，进行事件响应分析；开发。
- 协助设计与确保信息安全政策合规相关的治理活动。
- 监控并确保符合标准、政策和程序。
- 定义高级迁移计划，以解决当前状态和未来状态之间的差距，通常与预算或其他规划过程同步。
描述
- 开发、支持和推进旨在不断改善和增强网络和信息安全态势和弹性的战略、政策、计划和项目。
- 监督与网络和信息安全相关的适用法律、规则和法规的合规性。
- 与合规团队合作，建立政策/标准/指南，以确保系统记录用户活动和对敏感数据的访问，以支持内部风险管理
- 开发和实施软件安全合规计划，采用基于风险的方法确保适当遵守政策/标准/指南。
- 为内部和外部的意识和宣传工作做出贡献。
- 参加所有常规、特别和紧急会议，讨论网络和信息安全。
- 定期审查安全控制的运行情况，并建议旨在提高有效性和/或应对新兴风险的更改。
- 维护威胁、攻击和风险模型，并定期进行分析，以确保公司充分降低风险。
- 向直线经理或任何提供服务的外部供应商（包括工具、技术、服务、政策、程序和其他必要领域）提出适当的安全增强建议。
- 领导评估和选择供应商进行安全评估、渗透测试和其他类似安全服务的工作。
- 指导和监督安全工具的评估，并向IT安全经理提出采购建议。
- 管理预算，维护财务预测，开发和展示业务案例。
- 确立目标和里程碑，并管理活动以在预算和时间表内交付高质量的结果。
- 直线经理分配的其他职责和义务
为IT基础设施和OT基础设施推导未来状态的网络安全架构。
- 领导Tabreed实施网络安全的防御策略和模型的开发（或更新）。
- 与多个利益相关者合作，识别IT基础设施和OT系统上的网络风险减少领域。
- 领导评估在IT基础设施中实施不同网络风险减少方法（即网络安全控制）的潜在影响。
- 作为Tabreed利益相关者的主要接口，设计防御模型并在Tabreed IT和OT系统中实施网络安全控制，以实现所需的风险减少。
评估当前状态和风险减少领域
- 领导基于国际标准、国家标准和实践状态的网络安全自我评估计划。
- 评估Tabreed的防御策略和网络安全计划的实施。
- 提供对当前里程碑交付和法规合规性的评估。
- 领导制定纠正行动计划，以实现所需的风险减少和计划元素的成熟。
风险减少策略开发
- 领导开发保护Tabreed关键系统和相关关键数字资产（CDA）的风险减少策略。
- 领导开发风险管理策略，包括网络安全控制实施策略，以实现有效和可持续的风险减少。
- 协助建立关键绩效指标，以监测网络风险的变化。
- 就网络安全战略问题和当前风险与高级领导沟通。
- 作为与阿联酋监管机构的联络人，验证网络安全性能是否符合或超过设计基础威胁的监管期望。
领导解决方案设计
- 领导创建与技术解决方案的设计和分析相关的交付物，以确保解决方案满足业务和运营需求。
- 设计、构建、实施和支持企业级安全系统。
- 设计安全架构元素以应对新出现的威胁。
- 创建平衡业务需求与信息和网络安全需求的解决方案。
风险管理
（强制性；由直线经理酌情决定）
- 分析当前风险并识别责任范围内的潜在风险
- 根据相关受众定制风险报告
- 通过提供支持和培训提高团队的风险意识
框架
- 遵循国际框架，旨在标准化业务中IT服务的选择、规划、交付和维护
技术研究
- 基于公司目标的战略规划（中长期），以跟上IT领域的新发展。
- 研究新技术，以确定未来最能支持其组织的技术。
工作要求
A. 最低资格：
- 计算机科学/工程或同等知识的学士学位持有者
- （AWS、Azure等）数据中心、数据存储技术、虚拟化、服务器平台（Windows和Linux）、
- 桌面、移动解决方案、系统监控/管理、数据保护、高可用性/集群、网络（WAN/LAN/WLAN等）、安全（防火墙、IDS/IPS、VPN等）
- 在事件管理和响应方面具有较强的能力。
- 深入了解安全概念，如网络攻击和技术、威胁向量、风险管理、事件管理等。
- 对基础设施安全及其对安全操作、漏洞、报告、分析和监控的影响有良好的理解。
- 能够全面理解Finning的业务、市场和行业，并将这些知识与识别的运营和IT相关风险联系起来
- 熟悉组织变更管理的基本原则，并了解如何应用这些原则
- 能够理解情况的长期（大局）和短期视角
- 能够估算风险缓解替代方案的财务影响
- 能够快速理解新技术的功能和能力
- 了解信息安全架构的许多方面（如果不是大多数），了解网络和企业架构
- 认证：CISSP或CISM，网络和安全，Microsoft Azure管理员认证和工业网络安全
B. 最低经验：
- 至少5年信息技术（IT）和运营技术（OT）网络安全经验。
- 具有运行关键任务网络安全操作的实践经验。
- 具有建立服务导向组织并推动或推广服务交付模型的经验。
- 展现出色的分析能力和在严格的时间表下管理多个项目的能力，以及在要求高、动态的环境中良好工作的能力，并实现总体目标。
- 项目管理技能：财务/预算管理、调度和资源管理。
- 具有合同和供应商谈判经验，并在谈判复杂合同和管理供应商方面具有专业知识，包括服务水平协议（SLA）的设计和跟踪。
- 具有高度的个人诚信，以及专业处理机密事项的能力，并表现出适当的判断力和成熟度。
- 自我启动者，责任心强，能够在很少监督的情况下工作。
- 限制性出差到项目现场。
- 由于24/7操作的性质，可能需要在下班后或周末工作。
- 根据需要灵活安排轮班工作。
