Матрица компетенций: GRC, аудит и соответствие
Матрица показывает, что нужно знать на каждом грейде, и открыта полностью. Как мы её составили и как считаем грейд — в методологии.
Hard skills
Skill Passport — Информационная безопасность
Governance, политики и accountabilityОбъясняет назначение компетенции «Governance, политики и accountability» и базовые понятия: структуру управления, policy hierarchy, роли, decision rights и exception process.; Различает актив, угрозу, уязвимость, контроль, риск, evidence и остаточный риск в своём рабочем контексте.; Знает предел своих полномочий, обязательность авторизации и условия немедленной эскалации.
Оценка и обработка киберрискаОбъясняет назначение компетенции «Оценка и обработка киберриска» и базовые понятия: контекст, risk scenarios, likelihood/impact, treatment, acceptance и monitoring.; Различает актив, угрозу, уязвимость, контроль, риск, evidence и остаточный риск в своём рабочем контексте.; Знает предел своих полномочий, обязательность авторизации и условия немедленной эскалации.
Control framework и control designОбъясняет назначение компетенции «Control framework и control design» и базовые понятия: выбор framework, цели контролей, applicability, ownership, design и inheritance.; Различает актив, угрозу, уязвимость, контроль, риск, evidence и остаточный риск в своём рабочем контексте.; Знает предел своих полномочий, обязательность авторизации и условия немедленной эскалации.
Обязательства и compliance mappingОбъясняет назначение компетенции «Обязательства и compliance mapping» и базовые понятия: реестр требований, применимость, mapping к контролям и versioned interpretation.; Различает актив, угрозу, уязвимость, контроль, риск, evidence и остаточный риск в своём рабочем контексте.; Знает предел своих полномочий, обязательность авторизации и условия немедленной эскалации.
Assurance, аудит и evidenceОбъясняет назначение компетенции «Assurance, аудит и evidence» и базовые понятия: audit scope, evidence quality, sampling, findings, independence и management response.; Различает актив, угрозу, уязвимость, контроль, риск, evidence и остаточный риск в своём рабочем контексте.; Знает предел своих полномочий, обязательность авторизации и условия немедленной эскалации.
Third-party и supply-chain riskОбъясняет назначение компетенции «Third-party и supply-chain risk» и базовые понятия: due diligence, tiering, договорные требования, monitoring, concentration и exit.; Различает актив, угрозу, уязвимость, контроль, риск, evidence и остаточный риск в своём рабочем контексте.; Знает предел своих полномочий, обязательность авторизации и условия немедленной эскалации.
Findings, exceptions и remediation governanceОбъясняет назначение компетенции «Findings, exceptions и remediation governance» и базовые понятия: регистрацию, root cause, action plans, compensating controls, due dates и closure evidence.; Различает актив, угрозу, уязвимость, контроль, риск, evidence и остаточный риск в своём рабочем контексте.; Знает предел своих полномочий, обязательность авторизации и условия немедленной эскалации.
Метрики, отчётность и continuous improvementОбъясняет назначение компетенции «Метрики, отчётность и continuous improvement» и базовые понятия: KRI/KPI/KCI, dashboards, maturity, trend, board reporting и improvement backlog.; Различает актив, угрозу, уязвимость, контроль, риск, evidence и остаточный риск в своём рабочем контексте.; Знает предел своих полномочий, обязательность авторизации и условия немедленной эскалации.
Soft skills
Skill Passport — Автономность и глубина
Автономность и масштаб задачОписывает задачи, которые выполнял по чёткой постановке от старшего коллеги или тимлида — конкретные тикеты с готовой декомпозицией. Роль в рассказе — исполнитель отдельных задач; не называет случая, где сам отвечал за результат целой фичи или модуля, а не за один тикет внутри неё.
Глубина технических решенийОписывает ситуацию выбора, но воспроизводит готовое решение (предложенное старшим коллегой, документацией или очевидное по шаблону) — либо называет только один рассмотренный вариант без реального сравнения, либо не может объяснить, почему выбран именно он, а не альтернатива.