FIȘĂ DE POST AUDITOR DE SECURITATE CIBERNETICA

Nr. Înregistrare: [Număr de înregistrare intern]
Data intrării în vigoare: [Data]

SECȚIUNEA 1: IDENTIFICAREA POSTULUI

1.1. Denumirea postului:AUDITOR DE SECURITATE CIBERNETICA

1.2. Cod C.O.R.:252906

1.3. Departamentul: [Numele Departamentului]

1.4. Nivelul postului: De execuție / De coordonare

1.5. Locația: [Sediu / Punctul de lucru / Terti / Remote / Mobil / Mixt ]

SECȚIUNEA 2: RELAȚII ORGANIZATORICE

2.1. Relații ierarhice (de subordonare):

Se subordonează direct: [Funcția superiorului ierarhic direct]

2.2. Relații de coordonare (dacă este cazul):

Coordonează activitatea: [Specificați rolurile/echipele coordonate]

2.3. Relații funcționale (de colaborare):

Interne: Colaborează cu echipele de securitate IT, dezvoltare, operațiuni, conformitate și managementul riscului pentru evaluarea vulnerabilităților și implementarea măsurilor de securitate. Externe: Colaborează cu furnizori de servicii de securitate, consultanți, entități de certificare și autorități de reglementare pentru a asigura conformitatea și a beneficia de expertiză externă.

SECȚIUNEA 3: SCOPUL GENERAL AL POSTULUI

„Auditorul de securitate cibernetică are rolul de a evalua și a testa eficacitatea măsurilor de securitate implementate în cadrul organizației, identificând vulnerabilități și puncte slabe în sistemele informatice și în procedurile de operare. Scopul său este de a asigura conformitatea cu politicile interne și cu reglementările legale în vigoare, precum și de a propune măsuri corective pentru minimizarea riscurilor cibernetice și pentru protejarea activelor informaționale. Activitatea presupune efectuarea de audituri, revizuirea documentației, analiza logurilor și raportarea rezultatelor către management.”

SECȚIUNEA 4: ATRIBUȚII ȘI RESPONSABILITĂȚI PRINCIPALE

Efectuează evaluări de risc cibernetic, utilizând metodologii precum NIST, OWASP și ISO 27001.
Realizează audituri de securitate cibernetică, atât interne, cât și externe, pentru a verifica conformitatea cu standardele și politicile stabilite.
Analizează arhitecturi de securitate, identificând potențiale vulnerabilități și lacune.
Evaluează eficiența controalelor de securitate, inclusiv firewall-uri, sisteme de detecție a intruziunilor (IDS/IPS) și sisteme de prevenire a pierderilor de date (DLP).
Verifică configurarea corectă a sistemelor și aplicațiilor, asigurându-se că respectă cele mai bune practici de securitate.
Analizează rezultatele testelor de penetrare și raportează vulnerabilitățile identificate, propunând măsuri corective.
Monitorizează logurile de sistem și de aplicație pentru a detecta activități suspecte și incidente de securitate.
Evaluează și testează eficacitatea procedurilor de răspuns la incidente de securitate.
Verifică conformitatea cu reglementările legale și standardele din domeniul protecției datelor, precum GDPR.
Realizează evaluări ale riscurilor legate de securitatea aplicațiilor web și mobile.
Analizează politicile de securitate și propune îmbunătățiri pentru a le alinia cu cerințele de afaceri și cu cele mai bune practici.
Efectuează revizuiri ale codului sursă pentru a identifica vulnerabilități de securitate.
Realizează instruiri și conștientizare privind securitatea cibernetică pentru angajați.
Elaborează rapoarte de audit detaliate, cu recomandări clare și concise.
Participă la investigații de securitate, în cazul incidentelor, pentru a identifica cauzele și a propune măsuri de prevenire.

SECȚIUNEA 5: CERINȚELE POSTULUI

5.1. Studii și Calificări:

Diplomă de licență în Informatică, Inginerie Software, Securitate Cibernetică sau un domeniu conex.
Certificare relevantă în securitate cibernetică, precum CISSP, CISM, CEH, OSCP, CompTIA Security+.
Certificare în audit, precum Certified Internal Auditor (CIA) sau Information Systems Auditor (CISA).
Cunoștințe aprofundate despre cadrele de referință pentru securitate cibernetică, cum ar fi NIST Cybersecurity Framework, ISO 27001/27002.
Experiență cu instrumente de audit și testare a securității, precum Nessus, OpenVAS, Burp Suite, Metasploit.
Cunoștințe despre sisteme de operare (Windows, Linux), rețele de calculatoare și protocoale de comunicare.
Cunoștințe despre tehnologii cloud (AWS, Azure, GCP) și securitatea acestora.
Experiență în analiza logurilor de sistem și de aplicație, utilizând instrumente SIEM (Security Information and Event Management).
Cunoștințe despre criptografie și tehnici de protejare a datelor.
Cunoștințe despre legislația privind protecția datelor (GDPR, CCPA).
Cunoștințe despre metodologii de management al riscurilor (OCTAVE, FAIR).
Cunoștințe despre programare și scriptare (Python, PowerShell) pentru automatizarea sarcinilor de audit.
Experiență în realizarea de evaluări de risc și teste de penetrare.
Cunoștințe despre securitatea aplicațiilor web și mobile.

5.2. Experiență Profesională:

Minimum 3 ani de experiență în domeniul securității cibernetice.
Experiență în realizarea de audituri de securitate, atât interne, cât și externe.
Experiență în evaluarea riscurilor de securitate și în elaborarea de rapoarte de risc.
Experiență în testarea penetrării și în analiza vulnerabilităților.
Experiență în analiza logurilor de sistem și de aplicație, utilizând instrumente SIEM.
Experiență în implementarea și monitorizarea controalelor de securitate.
Experiență în investigarea incidentelor de securitate și în elaborarea de măsuri corective.
Experiență în gestionarea conformității cu standardele de securitate (ISO 27001, NIST).
Experiență în evaluarea securității aplicațiilor web și mobile.
Experiență în realizarea de evaluări ale riscurilor legate de securitatea sistemelor cloud.
Experiență în realizarea de instruiri și conștientizare privind securitatea cibernetică pentru angajați.
Experiență în redactarea de politici și proceduri de securitate.
Experiență în colaborarea cu echipe IT și de management pentru a îmbunătăți postura de securitate a organizației.
Experiență în utilizarea instrumentelor de gestionare a vulnerabilităților (ex: Nessus, Qualys).
Experiență în automatizarea sarcinilor de audit prin scriptare (ex: Python, PowerShell).

5.3. Competențe Tehnice (Cunoștințe):

Cunoașterea sistemelor de operare Windows și Linux, inclusiv linia de comandă.
Utilizarea eficientă a instrumentelor SIEM (Security Information and Event Management), precum Splunk, QRadar, Sentinel.
Utilizarea instrumentelor de scanare a vulnerabilităților (Nessus, OpenVAS, Qualys).
Utilizarea instrumentelor de testare a penetrării (Metasploit, Burp Suite).
Cunoașterea și utilizarea protocoalelor de rețea (TCP/IP, HTTP, HTTPS, DNS).
Cunoașterea și utilizarea instrumentelor de analiză a traficului de rețea (Wireshark).
Cunoașterea și utilizarea instrumentelor de diagnosticare a rețelei (ping, traceroute).
Cunoașterea și utilizarea instrumentelor de management al configurațiilor (Ansible, Puppet, Chef).
Cunoașterea și utilizarea limbajelor de scripting (Python, PowerShell, Bash).
Cunoașterea și utilizarea bazelor de date (SQL, MySQL, PostgreSQL).
Cunoașterea și utilizarea serviciilor cloud (AWS, Azure, GCP).
Cunoașterea și utilizarea instrumentelor de virtualizare (VMware, VirtualBox).
Cunoașterea și utilizarea sistemelor de detectare a intruziunilor (IDS/IPS).
Cunoașterea și utilizarea sistemelor de management al identității și accesului (IAM).
Cunoașterea și utilizarea instrumentelor de criptare și managementul cheilor.
Cunoașterea și utilizarea sistemelor de monitorizare a securității endpoint (EDR).
Cunoașterea și utilizarea instrumentelor de analiză a malware.
Cunoașterea și utilizarea instrumentelor de forensic digital.
Cunoașterea și utilizarea instrumentelor de raportare și vizualizare a datelor.
Cunoașterea și utilizarea instrumentelor de management al vulnerabilităților.

5.4. Competențe Comportamentale (Abilități):

Comunicare clară și concisă, atât verbală, cât și scrisă.
Abilitatea de a explica concepte tehnice complexe unui public ne-tehnic.
Gândire analitică și abilitatea de a identifica probleme și de a propune soluții.
Abilitatea de a lucra independent și în echipă.
Atenție la detalii și precizie în realizarea sarcinilor.
Capacitate de a prioritiza și gestiona timpul eficient.
Abilitatea de a gestiona situații de criză și de a lua decizii rapide.
Curiozitate și dorința de a învăța continuu.
Abilitatea de a influența și de a convinge.
Capacitatea de a construi și menține relații profesionale.
Abilitatea de a lucra sub presiune și de a respecta termene limită.
Adaptabilitate la schimbări și flexibilitate în abordare.
Integritate și etică profesională.
Abilitatea de a asculta activ și de a înțelege perspective diferite.
Capacitatea de a oferi și de a primi feedback constructiv.
Abilitatea de a lucra cu diverse departamente și niveluri ierarhice.
Abilitatea de a gândi critic și de a pune la îndoială ipotezele.
Capacitatea de a face față situațiilor ambigue și incomplete.
Abilitatea de a motiva și inspira alții.
Abilitatea de a rezolva conflicte și de a găsi compromisuri.

SECȚIUNEA 6: CRITERII DE EVALUARE A PERFORMANȚEI

Performanța titularului este evaluată periodic de către superiorul ierarhic, pe baza gradului de îndeplinire a atribuțiilor și a indicatorilor de performanță (KPIs), stabiliți de comun acord.

6.1. Indicatori Cantitativi: Numărul de audituri de securitate finalizate în perioada de raportare, Numărul de vulnerabilități identificate și remediate, Timpul mediu de răspuns la incidente de securitate, Scorul de conformitate cu standardele de securitate (ISO 27001, NIST), Procentul de recomandări de securitate implementate, Numărul de rapoarte de risc elaborate, Numărul de sesiuni de training de securitate organizate, Procentul de angajați care au participat la training, Numărul de teste de penetrare efectuate, Scorul de risc mediu identificat în urma testelor de penetrare, Numărul de breșe de securitate prevenite, Timpul mediu de detectare a incidentelor, Numărul de recomandări de îmbunătățire a securității implementate, Procentul de recomandări acceptate de management, Numărul de audituri de securitate interne efectuate, Numărul de audituri de securitate externe efectuate, Scorul de maturitate a securității, Numărul de indicatori de securitate monitorizați, Procentul de indicatori care depășesc pragurile de alertă.
6.2. Indicatori Calitativi: Acoperirea completă a domeniului de audit, Claritatea și concizia rapoartelor de audit, Utilitatea recomandărilor de securitate, Relevanța auditurilor pentru obiectivele de business, Acuratețea identificării vulnerabilităților, Profunzimea analizei riscurilor, Eficiența procesului de audit, Respectarea standardelor și cadrelor de referință, Capacitatea de a comunica eficient cu părțile interesate, Abilitatea de a adapta auditurile la contextul specific al organizației, Nivelul de satisfacție al părților interesate, Calitatea interacțiunii cu echipele IT și de securitate, Obiectivitatea și imparțialitatea auditurilor, Gradul de inovare în abordarea auditurilor, Capacitatea de a identifica tendințe și amenințări emergente, Nivelul de conștientizare a riscurilor generate de audituri, Capacitatea de a propune soluții creative și eficiente, Impactul auditurilor asupra îmbunătățirii securității organizației, Gradul de încredere acordat de management în rezultatele auditurilor.
6.3. Indicatori Comportamentali: Inițiativă și proactivitate în identificarea riscurilor, Atenție la detalii și acuratețe în analiza datelor, Abilitatea de a lucra independent și sub presiune, Capacitatea de a gestiona multiple proiecte simultan, Abilitatea de a comunica eficient cu diverse departamente, Abilitatea de a influența și convinge părțile interesate, Adaptabilitate la schimbări și noi tehnologii, Curiozitate și dorință de a învăța continuu, Abilitatea de a gândi critic și de a rezolva probleme complexe, Abilitatea de a lucra în echipă și de a colabora eficient, Abilitatea de a oferi feedback constructiv și de a primi feedback, Integritate și etică profesională, Capacitatea de a gestiona situații de conflict și de a găsi soluții, Abilitatea de a prioritiza și de a gestiona timpul eficient, Abilitatea de a lua decizii informate și de a asuma responsabilitate, Abilitatea de a prezenta rezultatele auditurilor într-un mod clar și concis, Abilitatea de a se adapta la diferite culturi organizaționale, Abilitatea de a lucra cu sisteme și instrumente diverse de securitate, Abilitatea de a menține confidențialitatea informațiilor sensibile, Abilitatea de a demonstra leadership și de a inspira încredere.

SECȚIUNEA 7: CONDIȚIILE POSTULUI

7.1. Program de lucru: 8 ore/zi, 40 ore/săptămână, de Luni până Vineri.

7.2. Tipul contractului: Contract individual de muncă pe perioadă [nedeterminată/determinată].

7.3. Condiții de muncă: Activitate la birou, cu posibile deplasări în interes de serviciu.

7.4. Cerințe medicale și psihologice minime conform (HG 355/2007) :
Examenul medical este obligatoriu la angajare și periodic : DA
Examenul psihologic este obligatoriu la angajare și periodic : DA

7.5. Echipamente din dotare:
Laptop performant, Software de analiză a vulnerabilităților (Nessus, OpenVAS), Instrumente de testare a penetrării (Metasploit, Burp Suite), Sistem de management al auditurilor (GRC platform), Software de analiză a jurnalelor (SIEM), Dispozitive de stocare externă (SSD), Dispozitive de criptare a datelor (hardware), Microfon și căști pentru conferințe online, Instrumente de diagnosticare a rețelei (Wireshark), Scanner de cod sursă (SAST/DAST), Software de virtualizare (VMware, VirtualBox), Dispozitive de autentificare multi-factor (YubiKey), Instrumente de recuperare a datelor, Software de securizare a comunicațiilor (VPN), Software de gestionare a parolelor, Analizor de protocol, Instrumente de analiză a malware..

SECȚIUNEA 8: OBLIGAȚII LEGALE ȘI ADMINISTRATIVE ALE ANGAJATULUI

8.1. Sănătate și Securitate în Muncă (SSM)

Titularul postului are obligația să își însușească și să respecte cu strictețe legislația SSM (Legea 319/2006) și instrucțiunile proprii. Principalele obligații includ:

  1. Să își desfășoare activitatea, în conformitate cu calificarea și instruirea sa, precum și cu instrucțiunile primite din partea angajatorului, astfel încât să nu expună la pericol de accidentare sau îmbolnăvire profesională atât propria persoană, cât și alte persoane.
  2. Să utilizeze corect mașinile, aparatura, uneltele, substanțele periculoase, echipamentele de transport și alte mijloace de producție.
  3. Să utilizeze corect echipamentul individual de protecție acordat și, după utilizare, să îl înapoieze sau să îl păstreze la locul destinat.
  4. Să nu procedeze la scoaterea din funcțiune, la modificarea, schimbarea sau înlăturarea arbitrară a dispozitivelor de securitate proprii ale echipamentelor și să utilizeze corect aceste dispozitive.
  5. Să comunice imediat angajatorului și/sau lucrătorilor desemnați orice situație de muncă despre care au motive întemeiate să o considere un pericol pentru securitate și sănătate, precum și orice deficiență a sistemelor de protecție.
  6. Să aducă la cunoștința conducătorului locului de muncă și/sau angajatorului accidentele suferite de propria persoană.
  7. Să coopereze cu angajatorul și/sau cu lucrătorii desemnați pentru a face posibilă realizarea oricăror măsuri sau cerințe dispuse de către inspectorii de muncă și inspectorii sanitari.
  8. Să coopereze cu angajatorul și/sau cu lucrătorii desemnați pentru a permite angajatorului să se asigure că mediul de muncă și condițiile de lucru sunt sigure și fără riscuri.
  9. Să își însușească și să respecte prevederile legislației din domeniul securității și sănătății în muncă și măsurile de aplicare a acestora.
  10. Să nu înceapă lucrul dacă există pericole de accidentare. Eliminarea defectelor trebuie realizată numai de către personalul specializat.
  11. Să nu vină la serviciu în stare de ebrietate sau sub influența substanțelor stupefiante și să nu le introducă la locul de muncă.
  12. Să dea relațiile solicitate de către inspectorii de muncă și inspectorii sanitari.

8.2. Situații de Urgență (SU)

Titularul postului are obligația să cunoască și să respecte normele de apărare împotriva incendiilor (PSI) și de protecție civilă.

  1. Să respecte regulile și măsurile de apărare împotriva incendiilor, aduse la cunoștință de conducerea companiei.
  2. Să utilizeze substanțele periculoase, instalațiile și echipamentele potrivit instrucțiunilor tehnice.
  3. Să nu efectueze manevre nepermise sau modificări neautorizate ale sistemelor și instalațiilor de apărare împotriva incendiilor.
  4. Să comunice imediat conducătorului locului de muncă orice încălcare a normelor, situație de pericol de incendiu sau defecțiune sesizată la sistemele de protecție.
  5. Să coopereze cu personalul specializat (cadrul tehnic PSI) pentru realizarea măsurilor de apărare împotriva incendiilor.
  6. Să acționeze, în conformitate cu procedurile stabilite, în cazul apariției oricărui pericol iminent de incendiu.
  7. Să furnizeze persoanelor abilitate toate datele și informațiile de care are cunoștință referitoare la producerea incendiilor.
  8. Să beneficieze gratuit de echipament de protecție individuală și tratament medical în caz de dezastru.
  9. Să beneficieze de măsurile de protecție socială prevăzute de lege pentru perioadele de întrerupere a activității impuse de situații de urgență.
  10. Să respecte normele, regulile și măsurile de protecție civilă stabilite.
  11. Să participe la instruiri, exerciții și aplicații de protecție civilă.

8.3. Protecția Mediului

Titularul postului are un rol activ în susținerea politicilor de mediu ale companiei. Principalele obligații includ:

  1. Gestionarea deșeurilor: Să colecteze selectiv deșeurile (hârtie, plastic, sticlă etc.) în recipientele special marcate și să predea deșeurile periculoase (baterii, tonere) conform procedurii interne.
  2. Utilizarea resurselor: Să utilizeze rațional energia electrică, să reducă consumul de hârtie (favorizând formatele electronice) și să evite risipa de apă.
  3. Respectarea politicilor: Să cunoască și să aplice politica de mediu a companiei și să participe la instructajele aferente.
  4. Prevenire și raportare: Să acționeze preventiv pentru a evita poluarea și să raporteze superiorului ierarhic orice incident sau risc de mediu.
  5. Implicare: Să contribuie cu sugestii și propuneri pentru îmbunătățirea performanței de mediu a companiei.

8.4. Confidențialitate și Protecția Datelor (Rolul angajatului)

Titularul postului se obligă să păstreze confidențialitatea absolută asupra tuturor informațiilor și datelor (comerciale, tehnice, financiare, date personale ale clienților, partenerilor sau colegilor) la care are acces. Acesta va respecta cu strictețe prevederile Regulamentului (UE) 2016/679 (GDPR) și politicile interne de prelucrare a datelor, atât pe durata contractului, cât și după încetarea acestuia.

SECȚIUNEA 9: DREPTURI ȘI BENEFICII

Pe lângă drepturile legale, titularul postului beneficiază de:

  • Pachet salarial format din salariu fix și bonusuri de performanță.
  • Tichete de masă.
  • Abonament de servicii medicale la o clinică privată.
  • Asigurare de viață/accidente.
  • [Număr] zile de concediu de odihnă suplimentare.
  • Acces la programe de formare profesională plătite de companie.
  • Decontarea transportului (dacă este cazul).

SECȚIUNEA 10: DISPOZIȚII FINALE

Prezenta fișă de post constituie anexă la Contractul Individual de Muncă și face parte integrantă din acesta. Poate fi revizuită periodic, iar orice modificare va fi adusă la cunoștința angajatului prin act adițional. Nerespectarea atribuțiilor și obligațiilor din prezenta fișă de post poate atrage răspunderea disciplinară a salariatului, conform Codului Muncii și Regulamentului Intern.