Sicherheitsingenieur - GRC

Gesundheit kann nicht warten.
Nicht, dass sich die Symptome verschlimmern. Nicht für einen sechsmonatigen Termin. Nicht, dass ein System aufholt. Aber genau so funktioniert die Gesundheitsversorgung heute. Du wartest, bis du nicht mehr kannst.
Alan existiert, um das Warten zu beenden.
Gesundheit ist ein universelles Recht, und wir glauben, dass dieses Recht nur dann verwirklicht werden kann, wenn es mit Prävention verbunden ist. Wir müssen aufhören, Gesundheit als etwas zu betrachten, das wir reparieren, und anfangen, sie als etwas zu betrachten, das wir jeden Tag aufbauen. Es ist nicht nur eine Frage der Willenskraft. Es ist das Gesundheitssystem selbst, das für alle auf nachhaltige Weise funktionieren muss.
Damit schaffen wir den neuen Standard in der Präventionsversicherung. Alan ist das erste Unternehmen, das Versicherung, Prävention und Pflege in einem einzigen, gefeierten Benutzererlebnis integriert.
Wir befinden uns auf einer unglaublichen Reise, um ein weltweit führendes Unternehmen mit einer einzigartigen Kultur aufzubauen. Wir arbeiten bereits mit mehr als 40.000 Unternehmen jeder Größe zusammen, betreuen mehr als 1 Million Mitglieder und haben einen ARR von über 800 Millionen Euro erreicht.
Prävention als neue Norm. Das ist es, was wir mit unserem über 1000-köpfigen Team aufbauen. Wenn es Sie anspricht: Wir stellen in ganz Frankreich, Spanien, Belgien und Kanada ein. Und darüber hinaus.
Alan arbeitet an der Schnittstelle von Krankenversicherung, Prävention und regulierten Daten. Die Person in dieser Rolle ist für die Sicherheits-Governance und Risikolage eines Unternehmens verantwortlich, das sensible Gesundheitsdaten für mehr als eine Million Mitglieder verarbeitet, gemäß den DORA- und HDS-Zertifizierungsanforderungen arbeitet und durch die ACPR reguliert wird. Sie arbeiten eng mit der Rechtsabteilung, der Internen Revision und der umfassenderen Risikofunktion zusammen. Es ist eine sehr kollaborative Rolle.

🛡️ Ihre Mission: Governance, Risiko & Compliance
Besitzen und betreiben Sie das ISO 27001 ISMS. Sie sind der verantwortliche Eigentümer des Informationssicherheits-Managementsystems: Definition des Geltungsbereichs, Erklärung zur Anwendbarkeit, internes Auditprogramm und Managementbewertung. Sie haben mindestens einen vollständigen Zertifizierungs- oder Rezertifizierungszyklus geleitet und wissen, was in den Monaten zwischen den Audits passiert.
Seien Sie der Sicherheitsexperte für Regulierungs- und Datenschutzfragen. Rechtliche Hinweise zu DORA, HDS, RGPD, PGSSI-S und regulatorischen Beziehungen. Ihre Aufgabe besteht darin, die technische und betriebliche Sicherheitssubstanz einzubringen: Regulierungsanforderungen in Kontrollen umzusetzen, Implementierungslücken aufzuzeigen und sicherzustellen, dass das Sicherheitsprogramm solide ist, wenn das Regulierungsteam mit dem ACPR oder ANS verhandelt.
Gehen Sie Risiken als fortlaufendes Programm in Zusammenarbeit mit der breiteren Risikofunktion ein. Sie leiten die Kartierung von Sicherheitsrisiken mit EBIOS RM und stellen sicher, dass diese in das unternehmensweite Risiko-Framework einfließt und von diesem informiert wird. Sie moderieren Risiko-Workshops, erstellen Behandlungspläne und bringen den Sicherheitsaspekt in Foren, in denen auch nicht sicherheitsrelevante Risiken zur Sprache kommen. Sie wissen, wann ein Sicherheitsrisiko wirklich ein Geschäftsrisiko ist.
Besitzen Sie das Kontroll-Framework, verteilen Sie jedoch das Eigentum an den Kontrollen selbst. Sie definieren den Rahmen, legen die Standards fest und verfolgen die Abdeckung, aber die Kontrolle liegt bei den Teams, die die Dinge erstellen und betreiben, die sie schützen. Sie arbeiten eng mit Infrastruktur, Plattform und Technik zusammen, um sicherzustellen, dass grundlegende Bausteine ​​(Identität, Netzwerk, Geheimnisverwaltung, Protokollierung) von Anfang an mit integrierten Sicherheitsanforderungen entworfen werden. Sie arbeiten als Partner mit diesen Teams zusammen.
Führen Sie Prüfungszyklen sorgfältig durch, in enger Zusammenarbeit mit der Internen Revision. Sie verwalten das Sicherheitsauditprogramm und stimmen sich mit Zertifizierungsstellen ab. Sie arbeiten mit der Internen Revision zusammen, um die Bereiche abzustimmen, Doppelarbeit zu vermeiden und dem Vorstand ein kohärentes Bild der Kontrollwirksamkeit zu präsentieren. Sie haben an gemeinsamen Prüfungsplanungssitzungen teilgenommen und wissen, wie diese Beziehung gut funktioniert.
Verwalten Sie das Risiko Dritter. Sie führen Lieferantensicherheitsbewertungen durch und definieren vertragliche Sicherheitsanforderungen (Sicherheitsanhänge, DPAs). Sie arbeiten mit unserem Risikoteam zusammen, das das Risiko Dritter überwacht, und sind für die Sicherheitsdimension verantwortlich.
Bringen Sie den Kontext des Gesundheitssektors mit. Sie verstehen das ANS-Framework, die CERT Santé-Anforderungen und wissen, was es bedeutet, sensible Gesundheitsdaten im täglichen Betrieb zu verarbeiten. Sie sind ein nützlicher Partner der Rechtsabteilung, wenn es um die Frage geht: „Was verlangt diese Verordnung eigentlich technisch von uns?“
Eigene Vorfall-Governance und Unterstützung der DORA-Berichterstattung. Sie klassifizieren und eskalieren IKT-Vorfälle intern, sind für die BCP- und DRP-Governance verantwortlich und stellen die Sicherheitssubstanz für DORA-Vorfallberichte bereit.

🚀 Was Sie aufbauen und mit wem Sie zusammenarbeiten werden
Compliance-Framework: ISO 27001, DORA, HDS, NIS2. Mehrere Regulierungsbehörden, mehrere Länder, ein kohärentes Governance-Rückgrat. Bauen Sie das System auf, mit dem Alan von einer Million auf viele Millionen Mitglieder skalieren kann, ohne die Compliance jedes Mal neu aufbauen zu müssen.
Automatisierte Audit- und Beweis-Engine: Ersetzen Sie die manuelle Beweiserfassung durch skriptgesteuerte Pipelines, die direkt in technische Systeme eingebunden sind. Verwandeln Sie Audit-Zyklen in eine kontinuierliche Funktion statt in eine vierteljährliche Eile.
Risikokartografie: Risiko wird als operatives Signal behandelt, das direkt in geschäftliche und technische Entscheidungen einfließt, wobei EBIOS RM im Mittelpunkt steht.
Sie arbeiten eng mit der Rechtsabteilung, dem Datenschutzbeauftragten, der Innenrevision und der breiteren Risikofunktion zusammen und arbeiten täglich mit Infrastruktur, Plattform, Technik, Produkt und Betrieb zusammen. Sie sind die Brücke zwischen regulatorischer Komplexität und betrieblicher Einfachheit.

⚡ Warum diese Rolle etwas Besonderes ist
Direkte Auswirkung: Sie besitzen die Treuhandstiftung, die es Alan ermöglicht, Gesundheitsdaten für mehr als eine Million Mitglieder zu verwalten und in stark regulierten Märkten tätig zu sein. Ihre Arbeit ist die Voraussetzung für alles, was Alan sonst noch tut.
Komplexe Probleme: 4 Regulierungsbehörden in 4 Ländern, sensible Gesundheitsdaten und eine sich ständig verändernde Regulierungslandschaft (DORA, NIS2, AI Act), alles muss in einem einzigen, kohärenten Kontrollsystem modelliert werden.
Eigenverantwortung und Wachstum: Präsenz im Vorstand und in der Geschäftsleitung, echter Einfluss auf unternehmensweite Risikoentscheidungen und die Autonomie, Alans Sicherheitskultur für mehr als 800 Mitarbeiter zu gestalten.…

Quelle: Arbeitnow (https://www.arbeitnow.fr/jobs/companies/alan/security-engineer-grc-anywhere-in-france-2281)