Tester di penetrazione interno per la sicurezza informatica

Descrizione del lavoro

Il settore Information Security & BCM, sotto la guida del Group Chief Information Security Officer (CISO) e facente parte dell'organizzazione del Chief Operating Officer (COO), definisce, dirige e coordina le attività relative alla sicurezza delle informazioni all'interno di EFG International e delle sue unità globali. Stiamo cercando un Cybersecurity Internal Penetration Tester per supportare il quadro di gestione dei rischi ICT e garantire la conformità ai requisiti normativi (FINMA, DORA e normative del settore finanziario pertinenti).

Compiti

Il candidato prescelto sarà responsabile dello svolgimento di valutazioni interne proattive della sicurezza dell'infrastruttura bancaria, delle applicazioni e dei controlli. Tra i compiti principali figurano:

• Pianificazione, definizione dell'ambito e esecuzione di test di penetrazione interni su piattaforme di core banking e applicazioni aziendali, con particolare attenzione ai servizi che supportano funzioni critiche e fondamentali
• Sviluppo di scenari di test basati su modelli realistici di minacce bancarie (frodi, esfiltrazione di dati, escalation dei privilegi, movimenti laterali verso sistemi critici, ecc.)
• Esecuzione di test pratici su reti interne, server, dispositivi finali, applicazioni web, API, postazioni di lavoro cloud, Active Directory e altri sistemi infrastrutturali fondamentali
• Documentazione dei risultati in relazioni chiare e basate sul rischio, corredate di prove e raccomandazioni concrete rivolte a un pubblico sia tecnico che non tecnico
• Stretta collaborazione con i team responsabili delle infrastrutture, dello sviluppo, del DevOps e della gestione dei rischi per supportare i piani di ripristino e i test di verifica, garantendo che i risultati critici vengano monitorati e portati a termine nell'ambito dei processi CIRT e di governance
• Sviluppo e manutenzione di metodi di test interni, playbook e strumenti a supporto di valutazioni reattive ed efficaci
• Collaborazione con i team SOC o di threat intelligence per migliorare l'individuazione e la risposta alle minacce
• Rimanere aggiornati su nuove minacce, vulnerabilità, TTP ecc. e integrarle nei test interni

Requisiti

Il candidato ideale possiede:

• Una formazione in sicurezza informatica, informatica o in un settore affine
• 3-5 anni di esperienza pratica nei test di penetrazione o nel red teaming, con comprovata esperienza su reti interne, applicazioni web e API; un background nelle discipline di sicurezza offensiva costituisce un forte vantaggio
• Una buona conoscenza dei protocolli di rete, dei sistemi operativi (Windows, Linux) e delle tecnologie web e cloud; la familiarità con le principali architetture bancarie costituisce un vantaggio
• Conoscenza dei principali strumenti e tecniche di attacco (ad es. Burp Suite, Metasploit, framework simili a Cobalt Strike, strumenti basati su Kali) e capacità di eseguire test manuali al di là dell'utilizzo degli strumenti
• Solida conoscenza dei principi di codifica sicura e delle vulnerabilità più comuni nelle applicazioni (ad es. OWASP Top 10), al fine di valutare le destinazioni web e API
• Certificazioni professionali quali OSCP, GXPN o simili certificazioni di sicurezza offensiva in regola
• Ottime capacità comunicative e capacità di spiegare risultati tecnici complessi a un pubblico sia tecnico che non tecnico

Offriamo

Un sostegno