資訊安全主管

職責

1. 資訊安全管理:

• 起草並維護資訊安全政策、標準和標準操作程序（政策/標準/SOP）。

• 建立、發展並領導資訊安全團隊（工程師和合规專員）

• 領導資訊安全合规性倡議，推動並維護ISO 27001和SOC 2 Type II等認證。

• 建立一個安全意識培訓計劃，以提高整個公司的安全素養

1. 攻擊與防禦框架 ：領導設計和實現一個深層防御安全架構，覆蓋網路安全、主機安全、應用程式安全（網頁/API移動）、雲安全（AWS/GCP/Azure）和區塊鏈基礎設施安全

2. 安全運作（SecOps） ：建立或增強SOC/SIEM能力；領導安全事件檢測、響應和 forensics（IR過程）；定期進行紅隊演練和滲透測試。

3. 安全開發週期（SDL） ：將安全左移實踐嵌入整個開發週期（代碼審查、SAST/DAST、依賴性漏洞掃描、預發佈安全評估）。

4. 基礎設施安全 ：監督內部網絡安全架構、零信任網絡訪問、權限管理（PAM）和端點安全。

5. 加密威脅情報：跟上新興的加密貨幣特定威脅（MEV攻擊、閃貸攻擊、.oracle操縱等）。

6. 監管合规與政策監控：監控數位資產產業的監管動態（MiCA、VASP要求、FATF指導原則）並開發合规回應策略。

7. 跨功能協作：工作與工程、產品、法律和運作部門密切合作，將安全第一的文化嵌入組織內。

要求

1. 在資訊安全領域有8年的經驗，其中至少有3年在數位資產行業（交換平台、錢包、DeFi、受托人等）。

2. 強大的技術安全基礎，至少在以下兩個領域具有深入的專業知識：網絡安全、雲安全、應用安全、加密與密钥管理、區塊鏈/智能合約安全。

3. 精通Linux/Unix系統安全；具有渗透測試或漏洞研究的實際經驗（OSCP、CEH或其他同等認證為佳）。

4. 至少掌握一種腳本語言（Python、Go或Rust）用於自動化和安全工具。

5. 出色的風險識別、溝通和跨功能協作技巧；能夠將複雜的技術風險明確地傳達給非技術利益相關者。

6. 優秀的事故應對和危機溝通技巧。能夠獨立推動項目在快速動態的行業中完成。