Руководитель направления информационной безопасности

Trivio — онлайн-сервис, который помогает компаниям оптимизировать тревел-расходы, упрощая процесс организации деловых поездок.

Наша команда создала и развивает IT-платформу, интегрированную со множеством поставщиков туристического контента: авиа и железнодорожные билеты, отели, трансферы, такси и многое другое.

Продукт Trivio уже помогает оптимизировать процесс командировок более 4 000 компаний. Ежедневно наши клиенты оформляют от 10 000 поездок и тратят на одно бронирование менее 2 минут.

У нас отличная команда, лучший продукт и драйвовые задачи. А еще мы аккредитованная IT-компания и с 2021 года резидент Сколково. Trivio динамично развивается, и мы всегда в поиске талантливых и увлеченных людей с опытом работы в бизнес-тревел, продажах и разработке IT-продуктов.

В 2025 году компания вошла в рейтинг лучших работодателей России по версии РБК.

Сейчас мы ищем Руководителя направления информационной безопасности, который возьмёт ответственность за развитие информационной безопасности и соблюдение требований международной B2B SaaS-платформы.

Нам нужен руководитель с сильным техническим и управленческим опытом. Он будет работать с разработкой, инфраструктурой, юридической командой, корпоративными клиентами, аудиторами и внешними поставщиками услуг по информационной безопасности.

Наша цель — не создавать процессы и документы ради формального соответствия требованиям. Мы хотим построить практичную функцию информационной безопасности, которая снижает реальные риски и помогает бизнесу работать с клиентами в разных юрисдикциях.

Мы ищем человека, который умеет объяснять риски понятным языком, предлагать варианты их снижения и рекомендовать решение с учётом влияния на бизнес, стоимости и остаточного риска.

Что вы будете делать:
1. Стратегия, compliance и работа с клиентами

• Формировать стратегию информационной безопасности, проводить оценку текущего состояния и подготовить реалистичный план улучшений;
• Развивать систему управления информационной безопасностью в соответствии с ISO 27001 и требованиями применимых юрисдикций;
• Управлять рисками информационной безопасности, вести реестр рисков и поддерживать политики и обязательные меры защиты в актуальном состоянии;
• Готовить компанию к аудиту SOC 2 и международным требованиям корпоративных клиентов. Сопровождать аудиторов, собирать подтверждающие материалы и устранять замечания;
• Совместно с юридической службой обеспечивать соблюдение GDPR и требований к персональным данным. Развивать подход privacy by design, включая трансграничную передачу данных, локализацию, DPA и работу с подрядчиками;
• Отвечать на анкеты по информационной безопасности, участвовать в RFP/RFI и сопровождать проверки со стороны клиентов и партнёров;
• Представлять функцию информационной безопасности на встречах с зарубежными клиентами и аудиторами на английском языке;
• Определять целевую модель команды, бюджет и распределение задач между внутренними сотрудниками и внешними поставщиками услуг.

2. Безопасность продукта и инфраструктуры

• Развивать Secure SDLC, AppSec и управление уязвимостями;
• Определять требования к SAST, DAST, SCA, secrets scanning и threat modelling;
• Проводить проверку архитектуры совместно с командами разработки, DevOps и SRE;
• Помогать принимать решения по безопасности облачной инфраструктуры, IAM, Kubernetes, контейнеров, логирования и управления секретами;
• Организовывать penetration testing и контролировать устранение выявленных уязвимостей;
• Проводить оценку безопасности облачных сервисов, поставщиков и других внешних подрядчиков.

3. Инциденты, мониторинг и AI Security

• Развивать процессы реагирования на инциденты, требования к логированию и мониторингу безопасности. При необходимости организовывать взаимодействие с SOC/MSSP;
• Проводить разборы инцидентов и учебные сценарии, чтобы улучшать процессы и снижать повторяемость рисков;
• Формировать практические правила безопасного использования AI во внутренних инструментах и продукте. Учитывать риски утечки данных, prompt injection, контроль доступа, безопасность AI-поставщиков.

Что мы ждем от Вас:

• Опыт в информационной безопасности от 7 лет. Опыт на уровне Senior / Lead / Head либо самостоятельное управление крупным направлением;
• Опыт работы в продуктовой IT-компании, SaaS, fintech, travel-tech, e-commerce или другом цифровом бизнесе;
• Практический опыт с ISO 27001 и GDPR. Понимание SOC 2 и международных требований корпоративных клиентов;
• Понимание российского законодательства в области персональных данных и информационной безопасности, включая 152-ФЗ;
• Хорошее понимание современных web/cloud-архитектур, AppSec, Secure SDLC, OWASP, облачной безопасности, IAM, Kubernetes, управления секретами и уязвимостями;
• Опыт оценки рисков, проверки архитектуры и построения понятного плана развития информационной безопасности;
• Практический опыт обеспечения безопасности Azure или Kubernetes, опыт работы с PCI DSS, управления рисками поставщиков или privacy engineering
• Понимание процессов реагирования на инциденты, SIEM/SOC и мониторинга безопасности;
• Английский на уровне C1 или близком к нему. Необходимо свободно проводить встречи с зарубежными клиентами и аудиторами, обсуждать архитектуру и меры защиты, вести переписку и отвечать на анкеты по информационной безопасности; (или б2 разговорный).
• Умение переводить security-риски в понятные бизнес-решения: объяснять варианты, стоимость внедрения и остаточный риск.

Будет плюсом:

• Опыт самостоятельного прохождения сертификации ISO 27001 и аудита SOC 2 Type I / Type II;
• Опыт работы с европейскими или американскими корпоративными клиентами и в международной SaaS-компании;
• Опыт построения функции информационной безопасности с нуля или её существенной трансформации;
• Опыт AI Security / AI Governance. Знание рисков LLM security, OWASP Top 10 for LLM Applications, NIST AI RMF, EU AI Act или ISO/IEC 42001;
• Сертификаты CISSP, CISM, CISA, CCSP, ISO 27001 Lead Implementer / Lead Auditor, CIPP/E или CIPM — они не заменяют практический опыт.

Что мы предлагаем:
Официальное трудоустройство и комфортные условия работы:

• Полное соблюдение ТК РФ (оформление с первого рабочего дня, белая зп, оплачиваемые отпуска и больничные);
• Работу в аккредитованной IT компании со статусом в Минцифры;
• Для желающих работать в офисе - уютный современный офис рядом с метро Тульская: комфортные рабочие места, кофе/чай для всех сотрудников и фрукты по пятницам :)
• График работы 5/2 с 10:00 до 19:00;

Социальный пакет:

• ДМС (расширенная программа, которая включает в себя стоматологию и психолога помимо основного пакета);

Профессиональное развитие:

• Современные подходы к бизнесу, возможность предлагать и внедрять новые идеи и решения;
• Возможность построить и развивать функцию информационной безопасности в сильном IT-продукте для B2B travel;
• Прямое влияние на безопасность продукта, международные продажи и доверие корпоративных клиентов;
• Широкую зону ответственности. В неё входят стратегия, процессы, технические решения, подрядчики и будущая команда;
• Классная система наставничества: помощь с адаптацией и интеграцией в компанию (не только от коллег из Вашего отдела);

Корпоративная жизнь:

• Насыщенная корпоративная культура: активности для офисных и удалённых сотрудников, корпоративные мероприятия и встречи All Hands;
• Разнообразные форматы досуга: праздничные и вечерние мероприятия (настольные игры, квартирники, мастер-классы);
• Клубы и комьюнити по интересам: чаты (в т.ч. про питомцев), Trivio English Club, квиз-клуб (с оплатой участия компанией), «Рекомендалошная», Random Coffee и др;
• Дружелюбная среда, где легко находить единомышленников и участвовать в жизни компании. Также наши сотрудники могут предлагать свои идеи и запускать новые активности :)

А еще:

• Программа рекомендаций сотрудников – за каждого приведенного сотрудника в компанию, который успешно прошел испытательный срок, выплачиваем приятный бонус.

Уровень заработной платы обсуждается с кандидатом на финальном интервью.

Ждём Ваши отклики)