ديلويت تعلن عن وظيفة مدير استشارات في العمليات السيبرانية واختبار الاختراق Penetration Testing في الرياض
Consultant - Manager| Cyber Operate | Penetration Tester | KSA
🏢 Deloitte
تفاصيل الوظيفة
تعلن شركة ديلويت (Deloitte) عن وظيفة Consultant - Manager ضمن فريق Cyber Operate بمسمى Penetration Tester، في مدينة الرياض، المملكة العربية السعودية.
نبذة عن الوظيفة
ديلويت من أكبر شركات الخدمات المهنية وأكثرها مكانة في العالم، وقد حصلت خلال السنوات الأخيرة على عدة جوائز، منها أفضل جهة عمل في الشرق الأوسط، وأفضل شركة استشارات، وجائزة التميز في التدريب والتطوير في الشرق الأوسط. تسعى الشركة إلى إحداث أثر ملموس للعملاء والموظفين والمجتمع، وتوفر بيئة مهنية شاملة وتعاونية.
المهام والمسؤوليات
- تخطيط نطاق الاختبارات والاتفاق عليه مع مالكي الأنظمة، بما يشمل الأهداف وقواعد الاشتباك ومواعيد الاختبار، والحصول على تفويض كتابي قبل أي اختبار.
- اختيار المنهجية المناسبة لكل هدف (black-box أو grey-box أو white-box، وداخلي أو خارجي، ومعلن أو غير معلن)، واتباع منهجيات معتمدة مثل NIST SP 800-115 وPTES وOWASP، مع الحفاظ على سلامة الخدمات الحية المتاحة للعملاء.
- تنفيذ اختبارات اختراق تشمل تطبيقات الويب وواجهات البرمجة (APIs) مثل المصادقة والتفويض ومنطق الأعمال والحقن وإدارة الجلسات وأمن الـ API، وفق OWASP Testing Guide وASVS.
- اختبار تطبيقات الجوال (iOS وAndroid) والخلفيات الخاصة بها وفق OWASP MASTG.
- اختبار الشبكات الداخلية والخارجية، بما يشمل كشف الأسطح المكشوفة للهجوم، وتقسيم الشبكة الداخلي، والحركة الجانبية (lateral movement)، وتصعيد الصلاحيات.
- اختبار Active Directory وEntra ID، بما في ذلك مسارات الهجوم، ونقاط ضعف Kerberos، وأخطاء إعداد الصلاحيات، وتعرض بيانات الاعتماد.
- اختبار البيئات السحابية (Azure وAWS وGCP) للكشف عن الإعدادات الخاطئة والصلاحيات الزائدة والخدمات المكشوفة.
- اختبار شبكات Wi-Fi للشركات والضيوف، واختبار ضوابط الوصول الفعلي عند التصريح بذلك.
- تنفيذ تمارين هندسة اجتماعية مصرّح بها، تشمل التصيد الاحتيالي وانتحال الذرائع (pretexting) بالتنسيق مع فريق التوعية.
- (للمستوى Senior) تخطيط وقيادة تمارين Red Team قائمة على الأهداف، تحاكي جهات تهديد واقعية ومربوطة بإطار MITRE ATT&CK.
- (للمستوى Senior) تنفيذ جلسات Purple Team مع مركز العمليات الأمنية (SOC) لاختبار الكشف والاستجابة وتحسينهما.
- كتابة تقارير واضحة مصنّفة حسب المخاطر، تتضمن الأدلة وسيناريوهات الهجوم وخطوات المعالجة العملية، إلى جانب ملخص تنفيذي بلغة مبسطة.
- عرض النتائج على الفرق التقنية والإدارة، وشرح الأثر على الأعمال دون مبالغة.
- إعادة اختبار الإصلاحات والتحقق من إغلاق الملاحظات، وتسليم النتائج المعتمدة إلى فريقي إدارة الثغرات والمخاطر لمتابعتها.
- بناء حالات اختبار وسكربتات وقوائم فحص قابلة لإعادة الاستخدام لتسريع الاختبارات وتوحيد جودتها.
الشروط والمتطلبات
- من 2 إلى 7 سنوات من الخبرة الإجمالية.
- درجة البكالوريوس في الأمن السيبراني أو علوم الحاسب أو تخصص ذي صلة، أو ما يعادلها من الخبرة العملية.
- خبرة عملية في تنفيذ اختبارات اختراق لمؤسسات حقيقية، وليس في البيئات التدريبية أو مسابقات CTF فقط.
- مهارة عالية في كتابة التقارير باللغة الإنجليزية.
- شهادة اختبار اختراق عملية معترف بها (مثل OSCP) للمستويين Mid وSenior.
- يُفضّل توفر واحدة على الأقل من الشهادات التالية: OSCP أو CREST CRT/CCT أو GPEN، ومن الشهادات المقدّرة أيضاً: OSEP أو OSWE أو CRTO أو GWAPT أو eCPPT/eWPT أو PNPT. شهادة CEH مقبولة للمستوى Junior فقط.
المهارات المطلوبة
- إتقان الأدوات الأساسية: Burp Suite وNmap وMetasploit وBloodHound وأطر الاستغلال ما بعد الاختراق الشائعة.
- البرمجة بلغة Python أو Bash أو PowerShell.
- (مفضّل) خبرة في أطر C2 مثل Cobalt Strike وSliver وMythic.
- (مفضّل) خبرة في اختبار تطبيقات الجوال والبيئات السحابية.
- (مفضّل) مهارات في تطوير الاستغلالات أو مراجعة الشفرة البرمجية.
- (مفضّل) خبرة في اختبار بيئات قطاعات الضيافة والمدفوعات والمدن الذكية أو بيئات التقنيات التشغيلية (OT-adjacent).
- (مفضّل) إجادة اللغة العربية.
- الأطر والمعايير المعتمدة: الضوابط الأساسية للأمن السيبراني ECC-2:2024 الصادرة عن الهيئة الوطنية للأمن السيبراني (اختبار الاختراق)، وNIST SP 800-115، وPTES، وOWASP WSTG وASVS وMASTG، وMITRE ATT&CK، ومنهجية CREST.
- القدرات القيادية المتوقعة: بناء فهم شخصي لرسالة الشركة وقيمها واستكشاف فرص الأثر فيها، والالتزام بالتعلم والتطوير الذاتي والمساهمة في استقطاب الكفاءات، وتحمل المسؤولية الشخصية عن متابعة الأداء، وتطوير مهارات التواصل وبناء العلاقات، وفهم كيفية إسهام العمل اليومي في أولويات الفريق والشركة.
عرض النص الأصلي للإعلان
About Deloitte: When you work for us, you commit to a career at one of the largest and most prestigious professional services firms in the world. We have received numerous awards over the last few years, including Best Employer in the Middle East, and Best Consulting Firm, and the Middle East Training & Development Excellence Award.
Our Purpose
Deloitte makes an impact that matters. Every day we challenge ourselves to do what matters most-for clients, for our people, and for society. We serve clients distinctively, bringing innovative insights, solving complex challenges and unlocking sustainable growth. We inspire our talented professionals to deliver outstanding value to clients, providing an exceptional career experience and an inclusive and collaborative culture. We contribute to society, building confidence and trust in the markets, upholding the integrity of organizations and supporting our communities.
Our shared values guide the way we behave to make a positive, enduring impact:
During your tenure as a Consultant - Manager, you will demonstrate and develop your capabilities in the following areas.
Plan and scope engagements
Our Purpose
Deloitte makes an impact that matters. Every day we challenge ourselves to do what matters most-for clients, for our people, and for society. We serve clients distinctively, bringing innovative insights, solving complex challenges and unlocking sustainable growth. We inspire our talented professionals to deliver outstanding value to clients, providing an exceptional career experience and an inclusive and collaborative culture. We contribute to society, building confidence and trust in the markets, upholding the integrity of organizations and supporting our communities.
Our shared values guide the way we behave to make a positive, enduring impact:
During your tenure as a Consultant - Manager, you will demonstrate and develop your capabilities in the following areas.
Plan and scope engagements
- Agree scope, objectives, rules of engagement and test windows with system owners, and obtain written authorisation before any testing
- Choose the right approach for each target: black-box, grey-box or white-box, external or internal, announced or unannounced
- Follow a defined methodology (NIST SP 800-115, PTES, OWASP) and keep testing safe for live, guest-facing services
- Web applications and APIs: test authentication, authorisation, business logic, injection, session handling and API security, following the OWASP Testing Guide and ASVS
- Mobile applications: test iOS and Android apps and their back-ends following OWASP MASTG
- Internal and external networks: test perimeter exposure, internal segmentation, lateral movement and privilege escalation
- Active Directory and identity: test AD and Entra ID attack paths, Kerberos weaknesses, privilege misconfigurations and credential exposure
- Cloud environments: test Azure, AWS and GCP for misconfigurations, excessive permissions and exposed services
- Wireless and physical: test corporate and guest Wi-Fi and, where authorised, physical access controls
- Social engineering: run authorised phishing and pretexting exercises with the Awareness team
- Plan and lead objective-based red team exercises that emulate realistic threat actors, mapped to MITRE ATT&CK
- Run purple team sessions with the SOC to test and improve detection and response
- Write clear, risk-rated reports with evidence, attack narratives and practical remediation steps, plus a short executive summary in plain language
- Brief technical teams and management on results, and explain business impact without exaggeration
- Retest fixes, confirm closure, and pass validated findings to Vulnerability Management and Risk for tracking
- Build reusable test cases, scripts and checklists to make testing faster and more consistent
- Builds own understanding of our purpose and values; explores opportunities for impact.
- Demonstrates strong commitment to personal learning and development; acts as a brand ambassador to help attract top talent.
- Understands expectations and demonstrates personal accountability for keeping performance on track.
- Actively focuses on developing effective communication and relationship-building skills.
- Understands how their daily work contributes to the priorities of the team and the business.
- Years of experience: 2-7 total years
- Bachelor's in cybersecurity, computer science or a related field, or equivalent practical experience
- Hands-on experience delivering penetration tests for real organisations, not only labs or CTFs
- Strong with core tools: Burp Suite, Nmap, Metasploit, BloodHound and common post-exploitation frameworks
- Scripting in Python, Bash or PowerShell
- Strong report writing in English
- A recognised hands-on offensive certification (e.g. OSCP) for Mid and Senior levels
- Red team experience with C2 frameworks (e.g. Cobalt Strike, Sliver, Mythic) is preferred.
- Mobile application and cloud penetration testing experience is preferred.
- Exploit development or code review skills is preferred.
- Experience testing hospitality, payments, smart-city or OT-adjacent environments is preferred.
- Arabic language is preferred.
- At least one preferred: OSCP, CREST CRT/CCT, GPEN. Also valued: OSEP, OSWE, CRTO, GWAPT, eCPPT/eWPT, PNPT. CEH is accepted at Junior level only.
- Frameworks & Standards: NCA ECC-2:2024 (penetration testing)
- NIST SP 800-115
- PTES
- OWASP WSTG / ASVS / MASTG
- MITRE ATT&CK
- CREST methodology
المصدر: LinkedIn - أُضيفت للموقع في 30 أكتوبر 2026
رقم الإعلان لدى المصدر: 4477407502
رقم الإعلان لدى المصدر: 4477407502
