Cybersecurity Incident Response Lead

Company Description

Fineco Bank is a leading European bank with a 20 years history and a fully digital DNA with a branchless approach since the start. Fineco is one of the banks with the widest products range available. We have developed a truly one-stop-solution which includes trading, investment and payment services. We have developed a 100% proprietary platform for trading and investment which covers all customer needs from trading listed and OTC product to investment product such as mutual funds and ETF. In addition to this we also offer banking and payment solution for domestic and international demand.

Position

Cerchiamo un Cybersecurity Incident Response Lead da inserire nel Dipartimento ICT & Cybersecurity. La figura presidia end-to-end il programma IR, guida il coordinamento operativo durante gli incidenti e assicura verso il management una vista chiara su stato, impatto, decisioni di contenimento, rischi residui e azioni di recovery. Lavora a stretto contatto con SOC, team tecnologici e funzioni di governance, orchestrando contributi specialistici anche da team che non riportano gerarchicamente alla funzione Cybersecurity.

Non è un ruolo di SOC shift management né una posizione puramente forense o di compliance. Il focus è coordinare la risposta agli incidenti, maturare il programma IR, orchestrare i team tecnici coinvolti e tradurre l’evento cyber in decisioni operative, comunicazione manageriale ed evidenze auditabili.

Principali Attività

• Guidare il coordinamento operativo della risposta agli incidenti di sicurezza: triage, priorità di contenimento, ricostruzione di vettore iniziale, kill chain, propagazione e blast radius, fino al coordinamento delle fasi di eradicazione e recovery con i team owner.
• Mantenere durante gli incidenti una timeline operativa e un decision log strutturato, tracciando ipotesi, decisioni di contenimento, owner, evidenze disponibili e rischi residui.
• Costruire, mantenere e testare il programma IR: playbook, runbook, procedure di escalation, ruoli e responsabilità, criteri di classificazione degli incidenti e meccanismi di aggiornamento continuo.
• Contribuire all’evoluzione delle capacità di detection e response, definendo con il SOC i requisiti derivanti da incidenti reali, tabletop exercise e threat intelligence: nuovi use case, tuning delle regole, riduzione dei falsi positivi, miglioramento dei workflow SIEM/SOAR/EDR/XDR.
• Integrare threat intelligence nel ciclo IR: tradurre indicatori di compromissione, TTP e scenari di minaccia in azioni concrete di detection, hunting, containment e hardening.
• Condurre post-incident review strutturate: root cause analysis, misurazione dell’impatto, lesson learned, remediation roadmap e follow-up con team tecnici e management.
• Pianificare e guidare esercitazioni periodiche, tabletop, simulazioni di crisi, sessioni collaborative con SOC, red team e blue team, per testare maturità del programma, qualità delle escalation e prontezza operativa.
• Supportare, in raccordo con le funzioni di governance, la classificazione degli incidenti ICT/cyber ai fini regolamentari, la raccolta delle evidenze operative, la ricostruzione della timeline e la predisposizione degli elementi tecnici necessari per eventuali escalation o notifiche formali.
• Produrre reporting tecnico e sintesi executive durante e dopo gli incidenti, assicurando una comunicazione chiara, tempestiva e coerente verso management, funzioni di governance e team operativi.

Requirements

• Almeno 7 anni di esperienza in incident response, security operations o cyber crisis management, con esperienza dimostrabile nel coordinamento operativo di incidenti di sicurezza in contesti enterprise complessi.
• Padronanza operativa dei principali framework IR: ISO/IEC 27035, SANS IR Process, NIST SP 800-61 o equivalenti; utilizzo di MITRE ATT&CK per analisi delle TTP, gap detection e miglioramento dei controlli di detection/response.
• Esperienza pratica con SIEM, EDR/XDR enterprise, strumenti di analisi forense e workflow di incident handling.
• Solida conoscenza di reti, protocolli, log di sistema/applicativi e tecniche di analisi del traffico, con capacità di ricostruire vettori di attacco, lateral movement, escalation di privilegi e persistenza.
• Capacità di scripting e automazione, preferibilmente Python, per supportare triage, enrichment, raccolta evidenze, automazione di task ripetitivi e personalizzazione di workflow di detection/response.
• Conoscenza delle superfici di attacco in ambienti ibridi on-prem/cloud, con familiarità su log nativi AWS/Azure, identità cloud, workload containerizzati, scenari di propagazione e principali tecniche di containment.
• Capacità di prendere decisioni operative di contenimento con informazioni incomplete, pressione temporale elevata e impatti potenziali su servizio, business e continuità operativa.
• Capacità di comunicare lo stesso incidente con registri diversi: tecnico-operativo con SOC e team infrastrutturali/applicativi; sintetico, risk-based e decision-oriented verso management e governance.
• Capacità di orchestrare team che non riportano gerarchicamente alla funzione Cybersecurity, facendo leva su processo, autorevolezza tecnica, chiarezza delle priorità e qualità della comunicazione.
• Ottima conoscenza della lingua inglese

Gradite

• Certificazioni: GCIH, GCFE o GCIA (GIAC) o simili
• Conoscenza approfondita di ambienti Windows/Linux enterprise e Active Directory — utile per investigazioni su lateral movement e privilege escalation
• Esperienza in ambito bancario o Financial Services regolamentato
• Esposizione a threat intelligence platform (MISP, OpenCTI e simili) e tecniche di threat hunting proattivo
• Esperienza nella gestione di major incident, cyber crisis exercise o war room operative in contesti regolamentati.
• Familiarità con processi di classificazione, escalation e reporting regolamentare degli incidenti ICT/cyber in ambito finanziario.

Other information

COSA OFFRIAMO

• Ruolo ad alta visibilità su infrastruttura tecnologica mission critical: piattaforma proprietaria, core banking e brokerage usati da 1,8 milioni di clienti in tempo reale
• Contesto tecnico ibrido di reale complessità on-prem/cloud, dove un incidente ha impatto diretto e immediato sul business
• Esposizione a processi regolamentari strutturati (DORA)
• Responsabilità dirette su un perimetro d’azione rilevante, all’interno di una funzione ICT & Cyber con peso strategico per la Banca
• Team tecnico di alto profilo, cultura orientata al problem solving

Sede di lavoro: Milano (alternanza presenza in sede e smart working)

Il Gruppo Fineco è orgoglioso di essere un Equal Opportunity Employer e si impegna a creare un ambiente di lavoro sicuro e inclusivo, fondato sul rispetto reciproco e la valorizzazione di qualsiasi diversità, offrendo pari opportunità di lavoro. Fineco “The Place To Be”