信息安全管理工程师

该职位来源于猎聘 职位描述 一、 岗位职责（Key Responsibilities） （一） 信息安全与数据合规体系建设与运行（核心主线） 1. 体系规划与维护：参与公司信息安全管理体系（ISMS）及隐私保护体系（PIMS）的规划、设计与运行，依据 ISO/IEC 27001:2022、ISO/IEC 27701 等标准制定并持续维护安全策略、制度、流程与操作规范； 2. 体系文档全生命周期管理：负责安全策略、数据分类分级规范、访问控制、变更管理、数据出境及供应商安全管理制度等核心文档的编制与例行更新； 3. 风险评估与审计应对：组织并执行年度信息安全与数据隐私风险评估、合规差距分析及控制有效性测试，维护风险登记册；推动体系持续改进，主导并配合内外部审计（含 ISO 27001 认证审核），维护适用性声明（SoA）、控制矩阵及审计证据库； 4. 全球数据合规与隐私保护：对接 GDPR、CCPA 以及国内《网络安全法》《数据安全法》《个人信息保护法》等法规要求，梳理公司与产品的数据流转链路，开展隐私影响评估（PIA/DPIA），推进数据跨境传输合规（如 SCCs、数据出境评估等）落地。 （二） 日常安全治理与运营支持 1. 安全事件与应急响应：负责日常安全运营治理，参与安全事件监测、响应与处置，组织事件复盘并推动改进措施落地，定期组织防钓鱼演练及应急响应演练； 2. 漏洞管理与配置加固：负责漏洞与安全配置治理，协调研发、运维及 IT 部门推进系统漏洞修复、基线加固与安全风险闭环； 3. 全员安全意识宣贯：面向全球员工策划并实施例行信息安全与数据合规培训，提升全员安全与隐私保护意识； 4. 度量与态势汇报：编制信息安全 KPI/KRI 报告，定期向 IT 负责人及管理层汇报安全态势、合规风险与治理成效。 （三） 数字化交付与 AI 产品安全治理（关键辅线） 1. 交付全生命周期安全评审：在数字化交付项目的立项、架构设计、开发（SDLC/DevSecOps）、上线及运维阶段提供安全与隐私评审建议，推动“安全左移”（Shift-Left Security），确保项目符合安全基线与合规要求； 2. AI 产品安全与合规治理：针对公司 AI 产品的研发与销售业务，参与建立 AI 安全治理框架，把控大模型训练数据合规、用户数据隔离、算法安全及 Prompt 交互安全，编制面向客户的 AI 安全白皮书/合规声明； 3. 客户安全审计与应答：作为信息安全接口人，高效应答全球客户的安全合规问卷（Security Questionnaires/RFI/RFP），提供安全资质证明与合规凭证，配合客户例行安全审计与技术尽调。 职位要求 任职资格（Qualifications） （一） 学历与工作经验 1. 本科及以上学历，计算机、信息安全、网络工程、通信工程等相关专业； 2. 4 - 7 年信息安全相关工作经验，其中至少 2 年 ISMS / ISO 27001 体系搭建或维持运行实操经验； 3. 具有知名 IT 咨询公司（如四大、IBM、埃森哲、Thoughtworks 等）、跨国企服/SaaS 公司或出海科技企业背景者优先。 （二） 专业知识与核心技能 1. 体系与方法论：深入理解 ISO/IEC 27001:2022 / ISO 27701 体系，理解 ISMS 的 PDCA 持续改进循环；掌握风险评估方法论（如 ISO 27005），能独立开展风险评估与差距分析； 2. 法律法规与标准：熟悉 GDPR、CCPA 及国内“网络与数据安全三法”，了解 NIST CSF、SOC 2 等国际常用安全与合规标准； 3. 技术与交付理解：理解敏捷软件开发流程（Agile/DevOps），了解云原生环境（AWS/Azure/阿里云）及常见安全技术（IAM、DLP、WAF、EDR 等）与架构逻辑，能够与开发团队无障碍沟通；熟悉至少一种漏洞扫描 / 安全基线核查工具（如 Nessus、Qualys、AWVS、等保工具箱）并能解读扫描报告，具备漏洞研判与风险验证能力； 4. 前沿敏锐度：对生成式 AI / 大模型数据合规、隐私隔离及算法安全有基本认知与实践/探索意愿；持续跟踪最新安全威胁态势与国内外法规动态（含 AI 监管、数据出境新政），推动内部安全基线与方法论更新。 （三） 语言与软技能 1. 工作语言（硬性要求）：优秀的英语听说读写能力，能够独立完成英文安全问卷应答、撰写英文合规文档，并作为工作语言直接与海外团队及外部客户沟通； 2. 跨部门协同与抗压：具备出色的跨部门沟通与协调能力，能与研发、运维、业务、法务及外部客户高效协同； 3. 报告与项目管理能力：具备出色的报告撰写与汇报表达能力，能独立撰写中英文安全评估/合规/审计整改报告，并将复杂技术问题清晰传达给技术与非技术受众（管理层、客户）；具备项目管理能力，能独立管理跨部门安全专项项目（立项、计划、执行至闭环），在交付项目中承担安全接口管理职责。 4. 职业素养：工作严谨细致、责任心强，具备良好的问题分析与风险权衡（Trade-off）能力；有强烈的求知欲与自我驱动力，能在压力下高效工作，具备良好的客户服务意识。 1. 知识沉淀与团队赋能：善于沉淀内部安全基线、评审清单、方法论与模板，能够为研发、运维及交付团队提供安全赋能与指导。 三、 加分项（Preferred Qualifications） 1. 资质证书：持有 ISO 27001 主任审核员（Lead Auditor）、CISSP、CISA、CISM、CIPP/E、CIPM、OSCP、PMP 或 AI 安全相关专业认证者优先； 2. 复合背景：兼具甲方企业安全治理与乙方 / 咨询交付双重经验者优先； 3. 审计与专项经验：有 ISO 27001 认证审核、SOC 2 审计配合经验，或有 DevSecOps 安全工具链治理/大模型安全治理实战经验者优先；有金融、医疗等高合规行业客户交付安全支持经验者优先。