États-Unis
Siemens
DecisionPoint | Cortek
Analyste RMF/ISSO
À distanceÉtats-Unis
Chicago, Illinois, United States
Traduction automatique. Consultez l’original.
Présentation
DecisionPoint recherche un analyste RMF/ISSO senior pour soutenir le cadre de gestion des risques (Risk Management Framework), l'autorisation, l'évaluation des contrôles de sécurité et les activités de surveillance continue pour le programme USMEPCOM ENLIST.
L'analyste RMF/ISSO gérera les artefacts d'autorisation, les déclarations de mise en œuvre des contrôles, les accords d'interconnexion, les preuves de surveillance continue et les plans d'action et jalons (POA&M) au niveau du système. Ce rôle soutiendra la conformité au plan de sécurité des locataires (Tenant Security Plan), les examens des dossiers d'autorisation d'exploitation (Authority to Operate) et d'autorisation de connexion (Authority to Connect), les tests de contrôle de sécurité, ainsi que la planification et l'exécution des tests et évaluations de sécurité.
Le candidat retenu travaillera avec le responsable de la sécurité des systèmes d'information (ISSM) du gouvernement, les propriétaires de systèmes, les équipes techniques, les évaluateurs et d'autres parties prenantes de la cybersécurité pour résoudre les commentaires d'examen et maintenir des preuves d'autorisation complètes, précises et traçables.
Ce poste est en télétravail, avec une préférence pour les candidats situés dans la région de Chicago.
Notre politique d'égalité des chances en matière d'emploi
Remarque : En postulant à ce poste, vous reconnaissez et consentez à ce que votre CV soit inclus dans une offre de contrat gouvernemental compétitive.
Politique d'EEO et d'action positive : DecisionPoint Corporation est un employeur qui souscrit au principe de l'égalité des chances en matière d'emploi et de l'action positive. La politique de DecisionPoint Corporation est de fournir l'égalité des chances en matière d'emploi conformément à toutes les lois, directives et réglementations applicables en matière d'égalité des chances en matière d'emploi/action positive à tous les employés et candidats qualifiés, sans distinction de race, d'ethnicité, de couleur, de religion, d'origine nationale, de sexe, d'âge, de handicap, de grossesse, d'orientation sexuelle, d'identité de genre, d'informations génétiques, de statut de vétéran protégé ou de tout autre statut protégé par les lois fédérales, étatiques ou locales.
Politique de transparence salariale : Conformément au décret présidentiel 13665, DecisionPoint Corporation ne licenciera pas et ne fera pas preuve de discrimination d'une autre manière à l'encontre des employés ou des candidats parce qu'ils se sont renseignés sur, ont discuté ou ont divulgué leur propre salaire ou le salaire d'un autre employé ou candidat. Cependant, les employés qui ont accès aux informations sur la rémunération d'autres employés ou candidats dans le cadre de leurs fonctions essentielles ne peuvent pas divulguer le salaire d'autres employés ou candidats à des personnes qui n'ont pas accès aux informations sur la rémunération, à moins que la divulgation ne soit (a) en réponse à une plainte ou à une accusation formelle, (b) dans le cadre d'une enquête, d'une procédure, d'une audience ou d'une action, y compris une enquête menée par l'employeur, ou (c) conforme au devoir légal de l'entrepreneur de fournir des informations.
Autorisation de partager le CV et les informations personnelles : En exprimant votre intérêt et en soumettant votre CV pour ce poste, vous autorisez DecisionPoint Corporation à partager votre CV, ainsi que les informations personnelles incluses dans le CV, avec ses filiales, sociétés affiliées et partenaires d'équipe dans le but de vous considérer pour ce poste et d'autres postes disponibles nécessitant des compétences, une formation et une expérience comparables. Si DecisionPoint Corporation ou ses sociétés affiliées et partenaires d'équipe souhaitent entamer des discussions préalables à l'embauche, il vous sera demandé de remplir une demande d'emploi et les documents d'embauche connexes.
Devoirs et responsabilités
L'analyste RMF/ISSO devra :
- Maintenir les dossiers d'autorisation du cadre de gestion des risques (Risk Management Framework) et la documentation associée tout au long du cycle de vie de l'autorisation du système.
- Développer et maintenir les déclarations de mise en œuvre des contrôles de sécurité, les preuves de contrôle, la documentation de sécurité du système et les enregistrements de surveillance continue.
- Maintenir les plans d'action et jalons (POA&M) au niveau du système, y compris les conclusions, les actions correctives, les jalons, les parties responsables, les preuves justificatives et le statut de clôture.
- Développer, examiner et maintenir les accords d'interconnexion des systèmes et la documentation d'autorisation associée.
- Soutenir la conformité au plan de sécurité des locataires (Tenant Security Plan) de l'USMEPCOM pour la partie de l'organisation sur le réseau IP non classifié du réseau d'information du DoD.
- Soutenir les activités de développement, d'examen, de soumission, de maintenance et de renouvellement des dossiers d'autorisation d'exploitation (Authority to Operate) et d'autorisation de connexion (Authority to Connect).
- Examiner les dossiers d'autorisation pour vérifier leur exactitude, leur exhaustivité, leur cohérence et leur traçabilité avant toute soumission au gouvernement ou à l'évaluateur.
- Évaluer la mise en œuvre des contrôles de sécurité et les preuves par rapport aux exigences applicables du NIST SP 800-53, du DoD, de l'armée et de l'USMEPCOM.
- Soutenir les tests de contrôle de sécurité pour les systèmes, applications, réseaux et infrastructures de support de l'USMEPCOM.
- Mener des examens internes de préparation à l'autorisation et exécuter les vérifications et tests requis conformément au cadre de gestion des risques (Risk Management Framework) du DoD.
- Développer des plans de test et d'évaluation de sécurité répondant aux exigences applicables de test de sécurité des systèmes d'information du NIST, du DoD, de l'armée et de l'USMEPCOM.
- Soutenir la préparation d'au moins deux plans de test et d'évaluation de sécurité ainsi que les activités de test qui en découlent pendant la période du bon de commande.
- Collecter, organiser, valider et télécharger les preuves d'autorisation dans eMASS ou le référentiel désigné par le gouvernement.
- Maintenir la traçabilité entre les contrôles de sécurité, les déclarations de mise en œuvre, les résultats des tests, les vulnérabilités, les activités de remédiation et les décisions d'autorisation.
- Analyser les commentaires des évaluateurs et coordonner les réponses avec les propriétaires de systèmes, les ingénieurs, les administrateurs, les développeurs et le personnel de cybersécurité du gouvernement.
- Résoudre les lacunes de documentation et s'assurer que les commentaires des évaluateurs sont traités avec des explications précises et des preuves justificatives appropriées.
- Surveiller les conditions d'autorisation, les conclusions ouvertes, les artefacts arrivant à expiration et les exigences de surveillance continue.
- Soutenir les rapports sur l'état de la sécurité, les résumés des risques, les calendriers d'autorisation et les briefings sur la cybersécurité pour le gouvernement et la direction du programme.
- Identifier les risques d'autorisation, les lacunes dans les preuves et les impacts potentiels sur le calendrier, et recommander des actions correctives pratiques.
- Protéger la documentation sensible relative à la cybersécurité et s'assurer que les enregistrements sont traités conformément aux exigences gouvernementales applicables.
Qualifications
Qualifications requises
- Habilitation Secret ou supérieure active.
- Licence en cybersécurité, systèmes d'information ou domaine connexe.
- Minimum de 10 ans d'expérience pertinente en cybersécurité, assurance de l'information, RMF ou sécurité des systèmes d'information.
- Certification CompTIA Security+ en cours de validité.
- Expérience dans le soutien du cadre de gestion des risques (Risk Management Framework) du département de la Défense.
- Maîtrise d'eMASS ou du référentiel d'autorisation désigné par le gouvernement.
Qualifications souhaitées
- Expérience dans l'exercice des fonctions de responsable de la sécurité des systèmes d'information (ISSO) dans un environnement fédéral ou DoD.
- Expérience dans le soutien aux ISSM gouvernementaux, aux propriétaires de systèmes, aux évaluateurs de contrôle de sécurité, aux autorités d'autorisation ou aux fournisseurs de contrôle commun.
- Connaissance pratique de la DoDI 8510.01, du NIST SP 800-37, du NIST SP 800-53, de la FISMA et des politiques de cybersécurité applicables du DoD.
- Expérience dans le développement ou la maintenance de plans de sécurité des systèmes, de déclarations de mise en œuvre des contrôles, d'accords d'interconnexion, de stratégies de surveillance continue et de documentation des décisions d'autorisation.
- Expérience dans le soutien aux activités d'ATO, d'ATC, de réaccréditation et d'autorisation continue.
- Expérience dans le développement et l'exécution de plans de test et d'évaluation de sécurité.
- Expérience dans la réalisation d'évaluations de contrôle de sécurité, de validation de contrôle, d'examens de preuves et d'examens de préparation à l'autorisation.
- Expérience dans la gestion des POA&M au niveau du système et la coordination des activités de remédiation technique.
- Connaissance d'ACAS ou Tenable, STIG Viewer, outils SCAP, solutions de sécurité des terminaux ou technologies de cybersécurité comparables du DoD.
- Expérience dans la maintenance de référentiels de preuves traçables et la résolution des commentaires des évaluateurs ou des audits.
- Certifications supplémentaires telles que CGRC, CAP, CISM, CISSP, CASP+ ou titres de cybersécurité équivalents.
- Connaissance des exigences actuelles de qualification de la main-d'œuvre en cybersécurité du DoD 8140.
- Solides compétences en rédaction technique, gestion de la documentation, analyse et coordination des parties prenantes.
- Capacité à expliquer les lacunes techniques des contrôles de sécurité et les risques d'autorisation aux parties prenantes techniques et non techniques.
Plus d’opportunités avec un seul profil
Vous souhaitez accéder à plus de postes sans répéter tout le processus ? Créez votre profil pour être trouvé par les entreprises utilisant Nort.
Créer mon profil