Security Operations Specialist in Katowice

CarltonOne jest globalnym liderem technologii B2B, częścią portfela Goldman Sachs, pomagając organizacjom na całym świecie nagradzać i inspirować wyjątkowych ludzi. Nasze rozwiązania umożliwiają pracownikom większą produktywność, zespołom sprzedażowym osiąganie najlepszych wyników oraz utrzymywanie zaangażowania i lojalności klientów. Nasza platforma napędza globalny przemysł zaangażowania, umożliwiając firmom dostarczanie wpływowych programów uznawania pracowników, lojalności klientów, nagród oraz zachęt sprzedażowych i kanałowych. Współpracujemy z ponad 450 klientami, 500 dostawcami i obsługujemy 14 milionów członków w 185 krajach. Poza zaangażowaniem, każde rozwiązanie CarltonOne wspiera naszą misję ekologiczną: finansowanie sadzenia drzew w celu pomocy w odbudowie planety. Do tej pory sfinansowaliśmy ponad 22 miliony drzew i jesteśmy na dobrej drodze do sadzenia milionów więcej każdego roku.

O możliwości: Starszy Specjalista ds. Reagowania na Incydenty Bezpieczeństwa i Naprawy odpowiada za pełny cykl życia incydentów bezpieczeństwa o każdym stopniu ciężkości — od triage przez ograniczenie, naprawę i przegląd poincydentowy — i działa jako Dowódca Incydentu podczas poważnych (P1) wydarzeń. Środowisko obejmuje dwa różne obszary: wewnętrzny majątek IT firmy — tożsamość, punkty końcowe, serwery, sieć, e-mail i administracja SaaS — oraz platformę generującą przychody skierowaną do klientów. Oczekuje się, że będziesz skuteczny w obu; bezpieczeństwo IT wewnętrznego nie jest tutaj traktowane jako drugorzędne. To rola wymagająca praktycznego działania. Samodzielnie wykonujesz prace techniczne: zapytania i korelacje logów, śladów i metryk w Datadog oraz pokrewnych platformach telemetrycznych, aby odtworzyć, co się wydarzyło, oraz naprawić luki i błędne konfiguracje, które odkrywasz, zamiast polegać na innych zespołach. Budujesz i utrzymujesz również podręczniki SOAR, automatyzację i logikę wykrywania, na których działa zespół.

Obowiązki:

• Posiadanie incydentów od początku do końca we wszystkich stopniach ciężkości: triage, dochodzenie, ograniczenie, eliminacja, naprawa i zamknięcie.
• Działanie jako Dowódca Incydentu podczas wydarzeń P1 — strukturalne śledzenie czasu, obsługa dowodów i koordynacja między zespołami.
• Dokonywanie trafnych ocen ciężkości i eskalacji pod presją czasu, z odpowiednim osądem, kiedy należy zaangażować kierownictwo lub innych interesariuszy.
• Utrzymywanie dokładnej dokumentacji incydentów, w tym przyczyn źródłowych i kroków naprawczych, dla każdego incydentu, którym zarządzasz.
• Badanie i reagowanie w obrębie wewnętrznego majątku korporacyjnego tak płynnie, jak na platformie produkcyjnej — kompromitacja Active Directory / Entra ID, intruzja punktów końcowych i serwerów, phishing i kompromitacja biznesowego e-maila, nadużycia VPN i zdalnego dostępu oraz niewłaściwe korzystanie z najmu SaaS.
• Wykonywanie głębokiego dochodzenia bezpośrednio w telemetrii: budowanie i uruchamianie zapytań w logach, śladach, metrykach i pulpitach w Datadog (i równoważnych narzędziach obserwacyjnych/EDR), aby ustalić zakres, promień eksplozji i przyczynę źródłową.
• Osobiście wykonywanie działań ograniczających i naprawczych tam, gdzie pozwala dostęp — izolowanie hostów, cofanie poświadczeń i sesji, łatanie i korygowanie błędnych konfiguracji — zamiast przekazywać pracę innym i śledzić postępy.
• Koordynowanie z zespołami IT, inżynieryjnymi i dostawcami w razie potrzeby, aby doprowadzić incydenty do zamknięcia.

Wymagania:

• 5-8 lat praktycznego doświadczenia w reagowaniu na incydenty, operacjach SOC lub roli zespołu niebieskiego, z głębokim zaangażowaniem w obsługę incydentów i naprawę (nie monitorowanie alertów ani koordynacja zgłoszeń).
• Udokumentowane doświadczenie w samodzielnym badaniu i zamykaniu incydentów bezpieczeństwa, w tym analiza przyczyn źródłowych i osobiste wykonywanie napraw.
• Głęboka wiedza praktyczna na temat platform SIEM, SOAR i obserwacyjnych/telemetrycznych — szczególnie Datadog, a także Microsoft Sentinel, Splunk, Rapid7 lub Cortex XSOAR; umiejętność pisania nietrywialnych zapytań logów i metryk oraz budowania i dostosowywania reguł wykrywania.
• Silne umiejętności skryptowe (Python, PowerShell lub Bash) do budowania automatyzacji, podręczników i narzędzi analitycznych ad-hoc.
• Głębokie zrozumienie TTP przeciwnika i ram MITRE ATT&CK.
• Praktyczne doświadczenie w zarządzaniu lukami i naprawie — łatanie, wzmacnianie, naprawa poświadczeń i dostępu oraz poprawki błędnych konfiguracji w AWS, Azure lub GCP.
• Doświadczenie w zabezpieczaniu wewnętrznej infrastruktury IT firmy — Active Directory / Entra ID, zarządzanie punktami końcowymi Windows i macOS (Intune, Jamf lub SCCM), konfiguracja zabezpieczeń M365 lub Google Workspace oraz infrastruktura sieciowa/VPN.
• Umiejętność jasnego komunikowania szczegółów incydentów na piśmie zarówno do interesariuszy technicznych, jak i nietechnicznych.

Preferowane kwalifikacje:

• GCIH, GCFA, GCIA, OSCP, CISSP lub CISM.
• Znajomość natywnych usług zabezpieczeń i logowania jednego dostawcy chmurowego (GuardDuty, Defender for Cloud lub Security Command Center).
• Doświadczenie w automatyzacji platform SOAR i projektowaniu podręczników (nie tylko użytkowanie).
• Doświadczenie w organizacji obejmującej zarówno majątek IT firmy, jak i produkcyjną platformę SaaS skierowaną do klientów, z odpowiedzialnością za bezpieczeństwo w obu obszarach.
• Ekspozycja na cyfrową forensykę lub podstawowe narzędzia do forensyki pamięci/sieci.
• Poprzednie doświadczenie w przyczynianiu się do lub prezentowaniu metryk/dashbordów incydentów.

Oferujemy dodatkowe korzyści:

• Konkurencyjne wynagrodzenie i pakiet świadczeń.
• Dostęp do naszego portalu świadczeń pracowniczych z ekskluzywnymi zniżkami.
• Miesięczne wydarzenia firmowe, uroczystości i aktywności zespołowe.
• Program punktów Bravo za uznanie i docenienie.
• Doceniamy różnorodność i inkluzję oraz zachęcamy wszystkie wykwalifikowane osoby do aplikowania. Jeśli możemy ułatwić ten proces poprzez dostosowanie w procesie rekrutacji lub jeśli potrzebujesz pomocy w dostosowaniu do niepełnosprawności, skontaktuj się z nami za pomocą przycisku „Pomoc” w aplikacji.

Status wakatu: To ogłoszenie reprezentuje aktywne wakaty, na które obecnie rekrutujemy.

Ujawnienie AI: Sztuczna inteligencja (AI) może być używana w procesie rekrutacji na to stanowisko.