博世
Information Security Expert_C
Information Security Expert_C
发布于 6 小时前普通员工/个人贡献者
全职员工仅现场办公信息安全
信息安全
Cissp
Iam/Sso
Iso/Iec 27001
Mitre Att&Ck
Owasp Top 10
安全意识培训
渗透测试
零信任
风险评估
值不值得投
73综合评分
综合评分 73
成熟跨国企业平台、治理与合规全链条职责、专业成长空间大，工作模式与节奏信息未披露。
从薪资福利、成长发展、工作生活和使命价值四个维度综合评估，方便横向比较。
薪资怎么样
2.9万
比信息安全中位数高
发布情况
新岗位 · 今天发布
公司情况
这家公司招聘很活跃
约 1170 个在招 · 其中信息安全 3 个
市场机会
选择适中
苏州 · 信息安全 · 12 个在招
职位详情
关于这个职位
该岗位隶属于博世，负责统筹公司的信息安全治理与合规体系：主导 ISO/IEC 27001 ISMS 的建设、运营与外部认证，推动网络安全等级保护 2.0 落地及《网络安全法》《数据安全法》《个人信息保护法》合规，并推进安全培训、安全架构评审、渗透测试与应急响应
属于以治理为主线、技术为支撑的资深专家角色，需要独立对治理结果负责
最低要求
基本要求
本科及以上学历
信息安全、计算机科学、网络工程或信息管理专业优先
年以上信息安全工作经验，其中 3 年以上独立负责安全治理、合规、风险或安全项目/计划
具备 IT 背景：在网络、系统运维、软件开发或云计算方面有实质性工作或项目经验
能够评审技术设计并与工程团队有效沟通
曾主导 ISO 27001 / 等保 / 数据合规体系的建设，并推动其通过外部审计或监管检查直至完全闭环
技术背景与实操能力（该岗位以治理为主，不承担大量攻击性工作，但要求具备真实的技术功底：看得懂、能验证、守得住底线，工程团队无法用技术说辞搪塞缺陷）
IT 基础：理解 TCP/IP 协议栈与常见网络架构
熟悉 Linux 与 Windows 安全机制，以及常见中间件和数据库的加固要点
技术理解力：掌握零信任、IAM/SSO、数据加密与脱敏、密钥管理、云原生/容器安全的原则与控制目标
能够评审技术设计是否满足合规与安全要求
漏洞与攻击知识：熟悉 OWASP Top 10、MITRE ATT&CK 及常见漏洞机理
能够复现和验证常见漏洞，并判断修复是否真正生效（不要求做未知漏洞研究）
工具使用：能够独立使用常见安全工具进行基线检查——漏洞扫描、配置基线核查、资产与端口发现、账号与权限审查——并能解读扫描报告与告警
数据处理：能用 Python / Shell 编写脚本，用于台账维护、数据核对和合规检查自动化
治理与合规能力
深入理解 ISO/IEC 27001、ISO/IEC 27701、等保 2.0、GDPR 以及中国网络安全与数据保护法律框架
能够将条款转化为可执行的控制措施与审计检查点
具备经证实的独立主导体系建设、开展内部审计、管理外部认证并推动不符合项整改的能力
具备风险评估、数据分类分级、PIA（个人信息影响评估）和供应商安全评估的实操经验
具备独立主导监管检查应对和客户安全审计的实质经验
赋能与培训能力
曾独立搭建企业安全培训体系或安全意识宣贯活动
能设计课程、开展培训并落地宣讲
能针对不同受众（高管、工程师、全体员工）调整深度与表达方式
较强的写作能力
能够独立产出制度、合规报告、培训材料和面向管理层的汇报材料
行业认证（关键筛选项）——候选人至少持有以下之一
由于该岗位以治理为主，优先管理类与合规/隐私类认证，技术类认证作为能力佐证：
国际-治理类：CISSP、CISM、CISA、CRISC、CCSP
中国-合规类：CISP（CISE / CISO）、CISAW、等保测评师认证、CCRC 相关资质
隐私类：IAPP CIPP/E、CIPM、CIPT、ISO 27701 相关资质
技术能力类：CEH、Security+、OSCP、GPEN、GWAPT
云安全类：阿里云/腾讯云/华为云安全认证
AWS Security Specialty、Azure Security Engineer、CCSK
软技能
独立工作：能自行制定计划、协调资源并推动结果，无需逐步指导
较强的跨部门影响力：在业务速度、工程效率与合规红线之间建立共识，并推动整改闭环
沟通与培训能力：能向高管讲清风险、向工程师讲清要求、向全体员工讲清行为期望
兼顾原则与务实：红线上不让步，落地方式上灵活
较强的文档能力：能独立产出制度、设计、报告和可直接用于评审的培训材料
具备英文阅读能力、可阅读原始法规与标准者优先
工作职责
合规与风险管理（约 40%）
独立负责公司的信息安全治理项目：制定年度安全与合规路线图、交付计划和资源需求，并对结果负责
主导 ISO/IEC 27001 ISMS 的建设、运行、内部审计与外部认证，推动不符合项整改直至关闭
负责中国的网络安全等级保护制度（等保 2.0）：定级、备案、差距评估与整改
将《网络安全法》《数据安全法》《个人信息保护法》（PIPL）下的义务落到实处：数据分类分级、PIA、跨境传输合规
建立风险评估方法论
主导年度风险评估、专项评估以及第三方/供应链安全审查
维护合规台账与关键风险指标（KRI），并按固定节奏向管理层和治理会议汇报
对接监管机构、客户安全审计和认证机构
作为整改质量的最终把关人，负责完整的“发现—整改—验证—关闭”闭环
为业务、产品和工程团队提供合规咨询与安全评审，将安全要求前置嵌入流程
推动制度发布与合规培训
跟踪各部门进展并将结果与绩效考核挂钩
赋能与安全文化（约 25%）
搭建分层安全培训体系：面向全员开展合规与意识培训、面向工程师开展安全开发培训、面向运维与业务团队开展岗位专项培训，并纳入入职培训与年度必修课程
开展安全意识宣传活动（钓鱼演练、安全宣传周、案例通报），进行可量化的效果评估并持续改进
编写并维护公司级制度、技术标准和安全基线
负责发布、答疑与落地情况检查
建立可持续的文化机制：部门安全联络人/安全大使、安全绩效指标、正向激励和违规举报机制
面向不同受众（高管、工程师、全体员工）进行汇报与培训，把专业要求转化为清晰的语言和可执行的行动
跟踪全球监管动态与技术趋势
产出可供决策的建议和内部知识资产
安全架构与工程（约 15%）
参与安全架构规划与演进
根据合规与风险控制目标定义技术要求，并推动其落地交付
主导或推动关键控制措施的实施：IAM/SSO、账号与权限治理、数据加密与脱敏、密钥管理、终端与云安全基线
对重大举措（上云、核心系统重构、新业务上线）开展安全评审
产出风险发现与整改要求，并跟进至解决
参与安全产品选型与 PoC 验证
编写公司级安全基线与技术规范
渗透测试与红队（约 10%）
负责关键业务系统和外部攻击面的授权渗透测试：制定年度测试计划、管理外部供应商、把控交付质量
评审测试方案、执行过程与报告
能够复现和验证常见漏洞，判断整改是否真正有效
推动关闭与复测
开展安全代码审查和软件成分分析（SCA）
跟进漏洞整改
组织红队/紫队演练，并将结果转化为防御改进与培训素材
检测与事件响应（约 10%）
推动检测能力建设：提出检测场景需求，跟进规则落地与误报压制，提升对攻击行为的发现率
建立并维护告警分级、事件处置 SOP 和应急预案
定期开展演练和事后复盘
参与重大安全事件的初判、协调与根因复盘
输出事件报告并推动整改
推动漏洞全生命周期管理与整改跟踪
与运维团队协同并执行整改 SLA
优先资格
NICE TO HAVE（加分项）
ISO 27001 Lead Auditor（LA / LI）或注册内审员资质
有独立授课、企业内训师或行业演讲经验
完整交付过数据安全治理或个人信息保护合规项目
有主导重大监管检查或大型安全整改项目的经历
有一线 IT 运维、开发或云平台交付经验
参与过国家、行业或集团级标准制定
AI 洞察
优缺点分析
优点
- 职责完整度高：从治理体系、合规认证、培训文化到架构评审与应急响应全链条覆盖，能快速积累体系化项目经验
- 治理与技术并重，要求“看得懂、能验证”，有助于避免脱离技术的纯合规路线，长期职业弹性更好
- 岗位需独立对治理结果负责并推动整改闭环，跨部门协调阻力大，对影响力和韧性要求高
- 既要懂制度与法规、又要能与工程团队对话技术细节，知识面广、学习曲线陡
- 适合有 4 年以上信息安全经验、已独立主导过 ISO 27001 或等保项目，且愿意在治理与合规方向长期深耕、同时保持技术理解的候选人
缺点 / 挑战
- 跨国企业平台，需对接国际标准（ISO 27001/27701、GDPR）与中国监管要求（等保、个保法），履历含金量较高
- 明确看重行业认证（CISSP、CISM、CISA、CISP 等），公司对专业资质的认可度较高，有利于持续投入专业成长
- 合规与监管事务节奏由外部审计、检查和整改期限驱动，存在阶段性高强度交付压力
角色解读
- 纵向可向信息安全负责人 / CISO、合规与风控总监方向发展，从治理体系建设者成长为区域或集团级安全管理者
- 横向可延展到数据合规与隐私保护（DPO）、云安全架构、风险管理与内部审计等专业赛道，认证与项目经验可复用性高
- 在跨国企业环境中积累全球标准对接、监管应对与供应商管理经验，长期具备跨行业（制造、汽车、金融、医疗）的迁移能力
- 统筹公司的信息安全治理体系，制定年度安全合规路线图并对结果负责，主导 ISO 27001 ISMS 建设、内部审计与外部认证
- 负责等保 2.0 定级备案与整改，落实《网络安全法》《数据安全法》《个人信息保护法》下的数据分类分级、PIA 与跨境传输合规
- 组织全员安全意识培训与分层安全培训、对接监管与客户审计，并为业务和工程团队提供安全评审与合规咨询
- 参与安全架构与关键控制（IAM/SSO、加密与密钥管理、云安全基线）落地，管理渗透测试、漏洞管理与安全事件响应
- 扎实的合规与治理功底：熟悉 ISO/IEC 27001、ISO/IEC 27701、等保 2.0、GDPR 及中国网络安全与数据保护法规，能把条款翻译成可执行的控制与审计检查点
- 真实的技术理解力：懂 TCP/IP、Linux/Windows 加固、零信任、IAM/SSO、加密脱敏、云原生与容器安全，能评审技术设计是否满足合规要求
- 攻防与工具能力：熟悉 OWASP Top 10、MITRE ATT&CK，能复现验证常见漏洞、判断修复是否有效，并独立使用扫描、基线核查等工具
- 跨部门影响力与表达能力：能在业务速度、工程效率与合规红线之间建立共识，并向高管、工程师、全员分别讲清风险、要求与行为规范
申请策略
- 准备一份“治理项目复盘”材料（一页纸），面试时可直接讲清问题、方法、结果，比泛泛描述更有说服力
- 提前了解博世在苏州的业务布局与信息安全组织架构，理解岗位在集团/区域治理中的定位
- 重点写明主导过的 ISO 27001 / 等保 2.0 / 数据合规项目：范围、你的角色、外部审计或监管检查结果、不符合项关闭情况
- 量化治理成果，如风险评估覆盖的系统数量、整改进度、漏洞修复 SLA 达成率、审计零重大发现等
- 列清持有的认证（CISSP、CISM、CISA、CISP、CIPP/E 等），这是 JD 明示的关键筛选条件
- 补充技术背景证据：网络/系统/开发/云的项目经历、脚本自动化（Python/Shell）用于合规检查的实践
- 如果缺少体系落地经验，可先参与或主导一次内部审计/等保测评准备，把“参与”变成“负责”
- 补强云原生与容器安全、零信任/IAM 的控制目标理解，以及 OWASP Top 10 漏洞的复现验证能力
面试指南
- 用 STAR 结构：先讲清合规/风险背景与约束，再说明你的方法论与关键动作，最后用审计结果、整改关闭率等客观指标收尾
- 遇到冲突类问题（如业务不配合），答复思路是：先量化风险与合规红线，再给出可选落地方案，最后明确责任与时间点，体现“原则不让步、方式可灵活”
- 技术类问题先讲判断标准（控制目标、复现验证方法），再讲工具与证据链，避免只谈制度不谈技术
- 请讲一个你从零主导 ISO 27001 体系建设并通过外部认证的案例，过程中最大的不符合项是什么、如何关闭的？
- 等保 2.0 定级备案你会如何推进？面对业务部门不配合整改，你怎么处理？
- 个保法下的数据分类分级和跨境传输合规，你实际落地过哪些动作？PIA 是怎么做的？
- 工程团队说某个漏洞“风险很低、不用修”，你如何判断修复是否真正有效并推动闭环？
- 你如何设计一套分层安全培训体系并衡量其有效性？钓鱼演练的效果怎么评估？
职位点评
薪资福利78
成长发展84
工作生活55
使命价值68
薪资福利
78中等
职位来自成熟跨国制造企业，岗位为核心治理职能、稳定性较好；但 JD 未披露薪资与福利细节，经济回报需在面试环节确认。
薪资信号未披露（AI估算：2.2千–3.5万/月）
成长发展
84较高
岗位覆盖治理、合规、架构、攻防与应急全链条，需对接国际标准与中国监管要求，认证与项目经验积累价值高；但 JD 未明确提及内部培训或晋升通道。
技术前沿主流现代技术
技术栈ISO/IEC 27001、ISO/IEC 27701、MLPS 2.0、PIPL、GDPR、IAM/SSO、Zero Trust、数据加密与脱敏、密钥管理、云原生/容器安全、OWASP Top 10、MITRE ATT&CK、SCA、Python、Shell
业务类型ambiguous
工作生活
55较低
JD 未提及办公模式、弹性工时或加班情况，仅能确认工作地点在苏州；且岗位需独立承担治理结果与整改期限压力，节奏存在不确定性。
工作模式未明确
办公地点未明确
加班情况未提及（无法判断）
使命价值
68中等
所属行业成熟稳定，岗位通过安全治理与合规保护员工与客户数据，具备一定正向价值；但社会影响力属常规企业内职能范畴。
行业发展稳定成熟行业
社会影响中性/一般
使命信号improve quality of life all across the globe、beneficial technologies being shaped by your ideas
创新程度积极采用新技术
博世 的其他在招职位
相似职位推荐
Watch Jobs