FIȘĂ DE POST AUDITOR/EVALUATOR SISTEME DE MANAGEMENT DE SECURITATE

Nr. Înregistrare: [Număr de înregistrare intern]
Data intrării în vigoare: [Data]

SECȚIUNEA 1: IDENTIFICAREA POSTULUI

1.1. Denumirea postului:AUDITOR/EVALUATOR SISTEME DE MANAGEMENT DE SECURITATE

1.2. Cod C.O.R.:214141

1.3. Departamentul: [Numele Departamentului]

1.4. Nivelul postului: De execuție / De coordonare

1.5. Locația: [Sediu / Punctul de lucru / Terti / Remote / Mobil / Mixt ]

SECȚIUNEA 2: RELAȚII ORGANIZATORICE

2.1. Relații ierarhice (de subordonare):

Se subordonează direct: [Funcția superiorului ierarhic direct]

2.2. Relații de coordonare (dacă este cazul):

Coordonează activitatea: [Specificați rolurile/echipele coordonate]

2.3. Relații funcționale (de colaborare):

Interne: Colaborează cu directorii de securitate, managerii de risc, echipele IT, departamentele juridice, proprietarii de active și alte părți interesate pentru a evalua și îmbunătăți eficacitatea sistemelor de management al securității. Externe: Colaborează cu furnizori de servicii de securitate, consultanți, auditori externi, autorități de reglementare și alte organizații relevante pentru a asigura conformitatea și a împărtăși bune practici.

SECȚIUNEA 3: SCOPUL GENERAL AL POSTULUI

"Auditorul/Evaluatorul Sisteme de Management de Securitate are rolul de a verifica, prin audituri și evaluări, conformitatea sistemelor de management de securitate ale organizațiilor cu standardele și reglementările aplicabile (SR-ISO 27001, GDPR, etc.). Activitatea presupune analiza documentației, evaluarea practicilor de securitate, identificarea vulnerabilităților și formularea de recomandări pentru îmbunătățire. De asemenea, el/ea asigură obiectivitatea și credibilitatea procesului de audit, contribuind la consolidarea securității informațiilor și la minimizarea riscurilor asociate."

SECȚIUNEA 4: ATRIBUȚII ȘI RESPONSABILITĂȚI PRINCIPALE

Planificarea și efectuarea auditurilor interne și externe ale sistemelor de management de securitate a informațiilor (SMSI), conform standardelor SR-ISO/IEC 27001 și cerințelor legislative.
Verificarea conformității politicilor, procedurilor și controalelor de securitate cu standardele și reglementările aplicabile.
Evaluarea riscurilor de securitate a informațiilor și analiza eficacității controalelor implementate.
Identificarea vulnerabilităților și deficiențelor în SMSI și formularea de recomandări pentru îmbunătățire.
Pregătirea rapoartelor de audit detaliate, incluzând constatări, recomandări și planuri de acțiune corective.
Monitorizarea implementării planurilor de acțiune corective și verificarea eficacității acestora.
Participarea la procesul de certificare/re-certificare a SMSI, asistând echipa de management.
Realizarea de evaluări ale riscurilor de securitate a informațiilor, utilizând metodologii adecvate (ex: NIST, OCTAVE).
Verificarea respectării cerințelor GDPR și a altor reglementări privind protecția datelor cu caracter personal.
Participarea la procesul de sensibilizare și instruire a personalului cu privire la securitatea informațiilor.
Analiza rezultatelor auditurilor anterioare și urmărirea implementării acțiunilor corective.
Participarea la revizuirea și actualizarea politicilor și procedurilor de securitate.
Evaluarea eficienței controalelor tehnice și administrative implementate.
Realizarea de analize forensice digitale pentru investigarea incidentelor de securitate.
Participarea la exerciții de simulare a incidentelor de securitate (tabletop exercises).

SECȚIUNEA 5: CERINȚELE POSTULUI

5.1. Studii și Calificări:

Studii superioare în domeniul securității informațiilor, informatică, inginerie sau un domeniu conex.
Certificare profesională în auditul sistemelor de management de securitate (ex: ISO 27001 Lead Auditor, CISSP, CISA, CEH).
Cunoștințe aprofundate ale standardelor și framework-urilor de securitate a informațiilor (ISO 27001, NIST, COBIT, GDPR).
Experiență în auditarea sistemelor de management de securitate, conformitate și evaluarea riscurilor.
Cunoștințe despre principiile de management al riscurilor și metodologii de evaluare a riscurilor (ex: FAIR, OCTAVE).
Cunoștințe despre legislația privind protecția datelor cu caracter personal (GDPR) și alte reglementări relevante.
Certificare în domeniul protecției datelor (ex: CIPP/E, CIPM).
Cunoștințe despre principiile de securitate cibernetică și tehnici de prevenire a incidentelor.
Cunoștințe despre controalele de securitate tehnice și administrative.
Experiență în utilizarea instrumentelor de audit și evaluare a riscurilor.
Cunoștințe despre principiile de management al continuității afacerii (BCM).
Cunoștințe despre principiile de răspuns la incidente de securitate (IR).
Cunoștințe despre principiile de management al vulnerabilităților.
Experiență în redactarea de rapoarte de audit clare și concise.

5.2. Experiență Profesională:

Minimum 3 ani de experiență în domeniul securității informațiilor.
Experiență demonstrabilă în efectuarea de audituri de securitate a informațiilor, conform standardelor SR-ISO/IEC 27001.
Experiență în evaluarea riscurilor de securitate a informațiilor și identificarea vulnerabilităților.
Experiență în redactarea de rapoarte de audit detaliate și formularea de recomandări de îmbunătățire.
Experiență în implementarea și monitorizarea planurilor de acțiune corective.
Experiență în evaluarea conformității cu legislația privind protecția datelor cu caracter personal (GDPR).
Experiență în colaborarea cu echipe multidisciplinare (IT, juridic, operațiuni) pentru a asigura conformitatea cu cerințele de securitate.
Experiență în utilizarea instrumentelor de audit și evaluare a riscurilor (ex: GRC, vulnerability scanners).
Experiență în investigarea incidentelor de securitate și elaborarea de rapoarte de analiză forensică digitală.
Experiență în prezentarea rezultatelor auditurilor și recomandărilor către managementul superior.
Experiență în realizarea de evaluări ale impactului asupra protecției datelor (DPIA).
Experiență în realizarea de exerciții de simulare a incidentelor de securitate (tabletop exercises).
Experiență în realizarea de evaluări ale securității aplicațiilor software.
Experiență în realizarea de evaluări ale securității rețelelor de comunicații.

5.3. Competențe Tehnice (Cunoștințe):

Cunoștințe avansate de operare a sistemelor de calculatoare și a aplicațiilor de birou (Microsoft Office Suite).
Cunoștințe solide despre sistemele de operare (Windows, Linux, macOS).
Cunoștințe despre rețele de calculatoare și protocoale de comunicare (TCP/IP, DNS, HTTP).
Cunoștințe despre baze de date (SQL, MySQL, Oracle).
Cunoștințe despre securitatea aplicațiilor web și a serviciilor online.
Cunoștințe despre tehnici de criptografie și protecție a datelor.
Cunoștințe despre instrumente de scanare a vulnerabilităților (Nessus, OpenVAS).
Cunoștințe despre instrumente de analiză a logurilor (Splunk, ELK Stack).
Cunoștințe despre instrumente de gestionare a configurațiilor (Ansible, Puppet, Chef).
Cunoștințe despre instrumente de monitorizare a securității (SIEM).
Cunoștințe despre tehnici de analiză a malware.
Cunoștințe despre standarde de securitate (ISO 27001, NIST Cybersecurity Framework).
Cunoștințe despre legislația privind protecția datelor (GDPR, CCPA).
Abilități de utilizare a instrumentelor de diagnosticare a rețelei (Wireshark).
Cunoștințe despre cloud computing (AWS, Azure, GCP).
Cunoștințe despre tehnologii de virtualizare (VMware, Hyper-V).
Abilități de utilizare a instrumentelor de colaborare online (Microsoft Teams, Slack).
Cunoștințe despre programare (Python, PowerShell) – avantaj.
Cunoștințe despre tehnologii de containerizare (Docker, Kubernetes) – avantaj.

5.4. Competențe Comportamentale (Abilități):

Abilitatea de a comunica eficient, atât verbal, cât și în scris, cu persoane de toate nivelele.
Capacitatea de a lucra independent și în echipă.
Gândire analitică și abilitatea de a rezolva probleme complexe.
Atenție la detalii și capacitatea de a identifica discrepanțe.
Abilitatea de a gestiona timpul și de a prioritiza sarcinile.
Capacitatea de a lucra sub presiune și de a respecta termenele limită.
Abilitatea de a influența și de a convinge.
Capacitatea de a construi și menține relații profesionale.
Abilitatea de a conduce discuții și prezentări.
Capacitatea de a negocia și de a ajunge la compromisuri.
Abilitatea de a oferi feedback constructiv.
Capacitatea de a învăța rapid și de a se adapta la schimbări.
Abilitatea de a fi obiectiv și imparțial.
Capacitatea de a gestiona conflicte.
Abilitatea de a fi proactiv și de a identifica oportunități de îmbunătățire.
Capacitatea de a fi flexibil și de a se adapta la diferite situații.
Abilitatea de a fi organizat și de a menține o evidență clară a activităților.
Abilitatea de a fi diplomat și de a menține o atitudine pozitivă.
Capacitatea de a fi etic și de a respecta confidențialitatea informațiilor.
Abilitatea de a fi rezistent la stres și de a menține o perspectivă pozitivă.

SECȚIUNEA 6: CRITERII DE EVALUARE A PERFORMANȚEI

Performanța titularului este evaluată periodic de către superiorul ierarhic, pe baza gradului de îndeplinire a atribuțiilor și a indicatorilor de performanță (KPIs), stabiliți de comun acord.

6.1. Indicatori Cantitativi: Numărul de audituri finalizate în perioada de raportare, procentul de conformitate cu standardele de securitate, numărul de recomandări implementate, numărul de vulnerabilități identificate și remediate, scorul mediu al evaluărilor de risc, timpul mediu de răspuns la incidente de securitate, numărul de rapoarte de audit generate, numărul de planuri de acțiune corective elaborate, procentul de îmbunătățire a scorului de securitate, numărul de audituri de urmărire finalizate, numărul de breșe de securitate prevenite, scorul de satisfacție al clienților interni/externi, numărul de traininguri de securitate organizate, numărul de participanți la traininguri, numărul de neconformități identificate în urma auditurilor, numărul de audituri efectuate conform planului, numărul de recomandări de îmbunătățire a securității implementate, numărul de rapoarte de audit revizuite și aprobate, numărul de planuri de răspuns la incidente actualizate.
6.2. Indicatori Calitativi: Acoperirea auditurilor, adecvarea metodologiei de audit, claritatea și concizia rapoartelor, obiectivitatea evaluărilor, acuratețea identificării riscurilor, relevanța recomandărilor, eficacitatea planurilor de acțiune corective, gradul de înțelegere a standardelor de securitate, capacitatea de a comunica eficient rezultatele auditurilor, profesionalismul în interacțiunile cu părțile interesate, respectarea confidențialității informațiilor, adaptabilitatea la schimbările din mediul de securitate, capacitatea de a identifica tendințele emergente în domeniul securității, calitatea documentației de audit, consistența aplicării standardelor de audit, gradul de implicare în îmbunătățirea continuă a sistemului de management al securității, capacitatea de a oferi consultanță privind implementarea măsurilor de securitate, calitatea interacțiunilor cu auditații externe, respectarea termenelor de livrare a rapoartelor, gradul de satisfacție al managementului cu rezultatele auditurilor.
6.3. Indicatori Comportamentali: Respectarea strictă a procedurilor de audit, atenție sporită la detalii și la potențiale neconformități, obiectivitate și imparțialitate în evaluare, capacitate de a lucra independent și în echipă, comunicare eficientă și clară, adaptabilitate la diferite situații și medii de lucru, rezolvarea eficientă a problemelor, inițiativă și proactivitate în identificarea riscurilor, gestionarea eficientă a timpului și prioritizarea sarcinilor, capacitate de a influența și convinge părțile interesate, abilitatea de a construi și menține relații profesionale, profesionalism și etică în interacțiunile cu clienții și colegii, capacitate de a oferi feedback constructiv și de a primi feedback, flexibilitate în abordarea sarcinilor, reziliență la stres și capacitate de a gestiona situații dificile, adaptare la schimbări legislative și tehnologice, respectarea confidențialității informațiilor sensibile, capacitatea de a învăța rapid și de a aplica cunoștințe noi, capacitatea de a lucra sub presiune și de a respecta termenele limită, atenție la securitatea informațiilor și la protejarea datelor.

SECȚIUNEA 7: CONDIȚIILE POSTULUI

7.1. Program de lucru: 8 ore/zi, 40 ore/săptămână, de Luni până Vineri.

7.2. Tipul contractului: Contract individual de muncă pe perioadă [nedeterminată/determinată].

7.3. Condiții de muncă: Activitate la birou, cu posibile deplasări în interes de serviciu.

7.4. Cerințe medicale și psihologice minime conform (HG 355/2007) :
Examenul medical este obligatoriu la angajare și periodic : DA
Examenul psihologic este obligatoriu la angajare și periodic : DA

7.5. Echipamente din dotare:
Laptop, tabletă, smartphone, software de audit, software de management al riscurilor, software de analiză a vulnerabilităților, software de criptare a datelor, dispozitive de stocare externă (hard disk, SSD), camere foto/video, microfon, căști, dispozitive de testare a penetrării, analizor de rețele, dispozitive de scanare a vulnerabilităților, software de management al parolelor, software de analiză a jurnalelor de evenimente, instrumente de diagnosticare a sistemelor, software de simulare a atacurilor cibernetice, echipament de protecție personală (dacă este necesar, de exemplu, în cazul auditurilor fizice), imprimantă portabilă, scanner portabil..

SECȚIUNEA 8: OBLIGAȚII LEGALE ȘI ADMINISTRATIVE ALE ANGAJATULUI

8.1. Sănătate și Securitate în Muncă (SSM)

Titularul postului are obligația să își însușească și să respecte cu strictețe legislația SSM (Legea 319/2006) și instrucțiunile proprii. Principalele obligații includ:

  1. Să își desfășoare activitatea, în conformitate cu calificarea și instruirea sa, precum și cu instrucțiunile primite din partea angajatorului, astfel încât să nu expună la pericol de accidentare sau îmbolnăvire profesională atât propria persoană, cât și alte persoane.
  2. Să utilizeze corect mașinile, aparatura, uneltele, substanțele periculoase, echipamentele de transport și alte mijloace de producție.
  3. Să utilizeze corect echipamentul individual de protecție acordat și, după utilizare, să îl înapoieze sau să îl păstreze la locul destinat.
  4. Să nu procedeze la scoaterea din funcțiune, la modificarea, schimbarea sau înlăturarea arbitrară a dispozitivelor de securitate proprii ale echipamentelor și să utilizeze corect aceste dispozitive.
  5. Să comunice imediat angajatorului și/sau lucrătorilor desemnați orice situație de muncă despre care au motive întemeiate să o considere un pericol pentru securitate și sănătate, precum și orice deficiență a sistemelor de protecție.
  6. Să aducă la cunoștința conducătorului locului de muncă și/sau angajatorului accidentele suferite de propria persoană.
  7. Să coopereze cu angajatorul și/sau cu lucrătorii desemnați pentru a face posibilă realizarea oricăror măsuri sau cerințe dispuse de către inspectorii de muncă și inspectorii sanitari.
  8. Să coopereze cu angajatorul și/sau cu lucrătorii desemnați pentru a permite angajatorului să se asigure că mediul de muncă și condițiile de lucru sunt sigure și fără riscuri.
  9. Să își însușească și să respecte prevederile legislației din domeniul securității și sănătății în muncă și măsurile de aplicare a acestora.
  10. Să nu înceapă lucrul dacă există pericole de accidentare. Eliminarea defectelor trebuie realizată numai de către personalul specializat.
  11. Să nu vină la serviciu în stare de ebrietate sau sub influența substanțelor stupefiante și să nu le introducă la locul de muncă.
  12. Să dea relațiile solicitate de către inspectorii de muncă și inspectorii sanitari.

8.2. Situații de Urgență (SU)

Titularul postului are obligația să cunoască și să respecte normele de apărare împotriva incendiilor (PSI) și de protecție civilă.

  1. Să respecte regulile și măsurile de apărare împotriva incendiilor, aduse la cunoștință de conducerea companiei.
  2. Să utilizeze substanțele periculoase, instalațiile și echipamentele potrivit instrucțiunilor tehnice.
  3. Să nu efectueze manevre nepermise sau modificări neautorizate ale sistemelor și instalațiilor de apărare împotriva incendiilor.
  4. Să comunice imediat conducătorului locului de muncă orice încălcare a normelor, situație de pericol de incendiu sau defecțiune sesizată la sistemele de protecție.
  5. Să coopereze cu personalul specializat (cadrul tehnic PSI) pentru realizarea măsurilor de apărare împotriva incendiilor.
  6. Să acționeze, în conformitate cu procedurile stabilite, în cazul apariției oricărui pericol iminent de incendiu.
  7. Să furnizeze persoanelor abilitate toate datele și informațiile de care are cunoștință referitoare la producerea incendiilor.
  8. Să beneficieze gratuit de echipament de protecție individuală și tratament medical în caz de dezastru.
  9. Să beneficieze de măsurile de protecție socială prevăzute de lege pentru perioadele de întrerupere a activității impuse de situații de urgență.
  10. Să respecte normele, regulile și măsurile de protecție civilă stabilite.
  11. Să participe la instruiri, exerciții și aplicații de protecție civilă.

8.3. Protecția Mediului

Titularul postului are un rol activ în susținerea politicilor de mediu ale companiei. Principalele obligații includ:

  1. Gestionarea deșeurilor: Să colecteze selectiv deșeurile (hârtie, plastic, sticlă etc.) în recipientele special marcate și să predea deșeurile periculoase (baterii, tonere) conform procedurii interne.
  2. Utilizarea resurselor: Să utilizeze rațional energia electrică, să reducă consumul de hârtie (favorizând formatele electronice) și să evite risipa de apă.
  3. Respectarea politicilor: Să cunoască și să aplice politica de mediu a companiei și să participe la instructajele aferente.
  4. Prevenire și raportare: Să acționeze preventiv pentru a evita poluarea și să raporteze superiorului ierarhic orice incident sau risc de mediu.
  5. Implicare: Să contribuie cu sugestii și propuneri pentru îmbunătățirea performanței de mediu a companiei.

8.4. Confidențialitate și Protecția Datelor (Rolul angajatului)

Titularul postului se obligă să păstreze confidențialitatea absolută asupra tuturor informațiilor și datelor (comerciale, tehnice, financiare, date personale ale clienților, partenerilor sau colegilor) la care are acces. Acesta va respecta cu strictețe prevederile Regulamentului (UE) 2016/679 (GDPR) și politicile interne de prelucrare a datelor, atât pe durata contractului, cât și după încetarea acestuia.

SECȚIUNEA 9: DREPTURI ȘI BENEFICII

Pe lângă drepturile legale, titularul postului beneficiază de:

  • Pachet salarial format din salariu fix și bonusuri de performanță.
  • Tichete de masă.
  • Abonament de servicii medicale la o clinică privată.
  • Asigurare de viață/accidente.
  • [Număr] zile de concediu de odihnă suplimentare.
  • Acces la programe de formare profesională plătite de companie.
  • Decontarea transportului (dacă este cazul).

SECȚIUNEA 10: DISPOZIȚII FINALE

Prezenta fișă de post constituie anexă la Contractul Individual de Muncă și face parte integrantă din acesta. Poate fi revizuită periodic, iar orice modificare va fi adusă la cunoștința angajatului prin act adițional. Nerespectarea atribuțiilor și obligațiilor din prezenta fișă de post poate atrage răspunderea disciplinară a salariatului, conform Codului Muncii și Regulamentului Intern.