Tim Crouch
Global Software AI dibinātājs un CTO. CISSP kopš 2014. gada.
Drošība ir mans darbs jau vairāk nekā 35 gadus: desmit gadi ASV armijas izlūkdienestā ar pielaidi „Top Secret”, pēc tam vairāk nekā 25 gadi IT jomā, veidojot, vadot un aizsargājot drošības programmas, galvenokārt regulētajos finanšu pakalpojumos.
Esmu vadījis GRC darbu HSBC Trinkaus, Deutsche Bank un Commerzbank atbilstoši BAIT, MaRisk, MiFID II, SWIFT un VDAR prasībām, kā arī konsultējis licencētu Vācijas ieguldījumu pārvaldes sabiedrību tās FinTech un TaxTech uzņēmumos. Esmu līdzdibinājis SaaS uzņēmumu un bijis tā CISO un CTO līdz deviņciparu summas pārdošanai privātā kapitāla fondam. Šodien vadu Global Software AI no Rīgas, veidoju CompylotAI un paralēli uzņemos nopietnus drošības projektus.
- 35+ gadi drošībā, 25+ IT jomā
- CISSP, ISC2, kopš 2014. gada
- Rīga, Latvija, darbs visā Eiropā
- Angļu (dzimtā), vācu un krievu (augstā līmenī)
- Banku darbība, alternatīvie ieguldījumi, SaaS, mazumtirdzniecība, augstākā izglītība
- B.S. Information Technology, Excelsior College
Kā es strādāju
Projektu konsultācijas ir mans ierastais darba veids. Tipiskam projektam ir skaidrs apjoms, fiksēta samaksa un nodošana beigās. Pēdējais bija sešu mēnešu drošības un GRC integrācija pēc iegādes licencētā Vācijas ieguldījumu pārvaldes sabiedrībā: mani piesaistīja izpilddirektors, darbs tika paveikts un nodots.
Es strādāju praktiski. Esmu projektējis un ieviesis SOC, septiņos mēnešos izveidojis pilnu drošības programmu, vadījis ielaušanās testus un nepilnību novēršanu, kā arī pats konfigurējis IAM, MFA, galiekārtu, SIEM un mākoņa kontroles.
Es tieši pasaku, ko kontrole ir vērta, un pateikšu arī, ja kāda prasība nav obligāta.
Atsevišķi rezultāti
- Vienīgais CISO līdz deviņciparu privātā kapitāla darījumamUzrakstīju politiku kopumu, veicu riska novērtējumus un atbalstīju pircēja drošības padziļināto izpēti uzņēmumā Education Advanced.
- Drošības programma no nulles septiņos mēnešosPolitikas, galiekārtu aizsardzība, SIEM, IAM, MFA, kriminālistika un ievainojamību skenēšana uzņēmumā Sally Beauty Holdings.
- HSBC Vācijā pirmais mākonī mitinātais drošības pakalpojumsIzvests cauri piegādātāja izpētei, ārpakalpojumu riska novērtējumam un uzraudzības iestādes apstiprinājumam.
- Vietējais drošības operāciju centrs (SOC)Projektēts, izveidots un savienots ar Eiropas SOC Lielbritānijā, lai paātrinātu reaģēšanu uz incidentiem.
- Darbības izmaksas samazinātas par vairāk nekā 40 %Pēc integrācijas, kas sekoja iegādei, iegādātā nodaļa no izmaksu centra kļuva par peļņas centru.
- Būtiski samazināts PCI-DSS tvērumsIzņemot karšu datus no uzņēmuma sistēmām un tīkliem.
Ko es sniedzu projektam
Drošības programmas ar pilnu atbildību
Stratēģija, ceļvedis, politiku kopums, kontroles ietvars, risku reģistrs, rādītāji un ziņošana valdei, kā atbildīgā persona, nevis konsultants no malas.
Gatavība regulējumiem un ietvariem
ISO 27001 un SOC 2 līdz auditam, VDAR, DORA, MiFID II, MaRisk, BAIT, SWIFT CSP, NIST CSF nepilnību analīze un PCI-DSS tvēruma samazināšana.
MI drošība un pārvaldība
MI sistēmu draudu modelēšana, datu rezidences projektēšana atbilstoši VDAR un ES MI aktam, kā arī apmācību datu iegūšanas noteikumi, kas iztur pārbaudi.
Trešo pušu un ārpakalpojumu riski
Padziļinātās izpētes programmas, mākoņa un pārvaldīto pakalpojumu ārpakalpojumu novērtējumi līdz uzraudzības iestādes apstiprinājumam un drošības anketas no abām pusēm.
Drošības operācijas un reaģēšana uz incidentiem
SOC projektēšana un izveide, SIEM (QRadar, Splunk), pārrobežu incidentu koordinācija, kriminālistika un galda mācības.
Identitāte, galiekārtas un mākonis
IAM, MFA, priviliģētā piekļuve, darbinieku pieņemšanas, pārcelšanas un aiziešanas process, galiekārtu aizsardzība un AWS un GCP kontroļu pārbaude.
Drošības izpēte apvienošanās un iegādes darījumos
Pārdevēja puses sagatavošana līdz deviņciparu privātā kapitāla darījumam, pircēja puses novērtējums par mērķa uzņēmuma drošību un cilvēkiem, un pēc tam integrācija.
Ieguldījumu pārvalde, FinTech un TaxTech
Drošības, GRC un integrācijas darbs licencētai Vācijas ieguldījumu pārvaldes sabiedrībai un tās FinTech un TaxTech uzņēmumiem.
Karjera
Kopš 2025. gada
Dibinātājs un CTO
Global Software AI, Rīga
- Veidoju CompylotAI: MI atbalstītas atbilstības sākotnējās pārbaudes ES un Vācijas finanšu iestādēm, ietverot dokumentu pārskatīšanu atbilstoši VDAR, MaRisk un BAIT.
- Projektēju datu rezidences arhitektūru ES un Šveicē, lai platforma atbilstu VDAR un ES MI aktam.
- Izveidoju MI pratības mācību programmu un mācību platformu vadītājiem un izstrādātājiem.
2019–2020 un 2025
CTO un konsultants
Licencēta Vācijas ieguldījumu pārvaldes sabiedrība
- Konsultēju izpilddirektoru un dibinātāju par tehnoloģijām, drošību un datu apstrādi sabiedrības FinTech un TaxTech uzņēmumos.
- 2025. gadā atgriezos uz sešu mēnešu projektu pēc tam, kad sabiedrība iegādājās TaxTech uzņēmumu: novērtēju tā drošību, GRC praksi un cilvēkus, pēc tam vadīju integrāciju.
- Samazināju iegādātās nodaļas darbības izmaksas par vairāk nekā 40 % un pārcēlu komandu uz MI atbalstītu izstrādi.
2016–2019
Neatkarīgs kiberdrošības un GRC konsultants
HSBC Trinkaus, Deutsche Bank, Commerzbank, Frankfurte
- NIST Cybersecurity Framework nepilnību analīze un kontaktpersona Vācijā HSBC globālajam Cybersecurity Maturity Improvement Plan.
- Novērtēju vairāk nekā 20 drošības projektus atbilstoši VDAR, BAIT, MaRisk un SWIFT un informēju riska, audita, juridisko, atbilstības nodaļu un valdi.
- Projektēju un ieviesu vietējo drošības operāciju centru, kas savienots ar Eiropas SOC.
2014–2016
Director, Enterprise Technology, un Manager, Security Operations
Sally Beauty Holdings, Dentona, Teksasa
- Septiņos mēnešos no nulles izveidoju un vadīju drošības programmu.
- Īstenoju vairāk nekā 75 projektus ar 4,6 miljonu ASV dolāru budžetu, visus budžeta robežās, ar HA/DR jau no pirmās dienas.
2009–2021
Līdzdibinātājs, CISO un CTO
Education Advanced, Tailera, Teksasa
- Līdzdibināju K-12 izglītības tehnoloģiju SaaS uzņēmumu un vadīju tehnoloģijas un drošību līdz tā deviņciparu pārdošanai privātā kapitāla fondam.
- Atbildēju par daudznomnieku platformas drošību: piekļuves kontrole, šifrēšana, žurnālēšana, dublēšana, migrācija uz AWS, ielaušanās testi un nepilnību novēršana.
1997–2014
IT infrastruktūra un tīkli, līdz IT direktora amatam
University of Notre Dame, University of Denver, University of Texas
- Infrastruktūras un tīklu amati trīs universitātēs, katrā līdz direktora amatam.
- University of Texas atbildēju par drošības politiku, infrastruktūru un atbilstību (PCI-DSS, HIPAA, FERPA) daudzu pilsētiņu universitātē un tās čarterskolās.
- Pieci gadi University of Texas System informācijas drošības padomē.
2000–2005
Tīmekļa atbalsta komandas vadītājs, pēc tam IT direktors
Compaq uzņēmumam GE Aircraft Engines, un Alford Auto Group
Kur sākās mana drošības karjera
No 1987. līdz 1997. gadam dienēju ASV armijas izlūkdienestā par pratinātāju ar pielaidi „Top Secret”, strādājot krievu un vācu valodā. Drošība bija pats darbs: informācijas aizsardzība, risku novērtēšana un cilvēku izpratne spiediena apstākļos.
Tā joprojām ir prasme, ko visbiežāk izmantoju incidenta laikā vai sarunās par piegādātāju riskiem: saglabāt mieru, uzdot nākamo jautājumu un pamanīt to, kas netiek pateikts.
Ietvari un rīki
Regulējumi un ietvari
Platformas un kontroles
Lasiet, kā es domāju par MI drošību
Vienkāršā valodā rakstīti NIST, OWASP, ISO/IEC 42001 un ES MI akta kopsavilkumi, sasaistīti ar CISSP jomām.