Ingeniero de Seguridad Senior

Descripción

Resumen: Buscamos un Ingeniero de Seguridad Senior para actuar como puente entre los requisitos de cumplimiento normativo/legal y la entrega técnica por parte de ingeniería, traduciendo regulaciones en tareas técnicas concretas y gestionando los procesos de auditoría. Aspectos destacados: 1. Oportunidad de trabajar en la intersección entre cumplimiento normativo, asuntos legales e ingeniería 2. Participación en programas HIPAA, FedRAMP y NIST 800-53 3. Experiencia directa en el apoyo a auditorías de terceros como SOC 2, FedRAMP y HITRUST Estamos buscando un Ingeniero de Seguridad Senior para unirse a nuestro equipo. Necesitamos un ingeniero capaz de situarse en la intersección entre los requisitos de cumplimiento normativo/legal y la entrega técnica: leer directamente los requisitos regulatorios o de auditoría, definir su alcance en tareas técnicas concretas, supervisar su ejecución hasta su cierre y gestionar el proceso de recopilación de evidencias para auditorías externas. Este programa se ampliará progresivamente para incluir a clientes gubernamentales y comerciales sometidos a regulación, así como regímenes de privacidad específicos por país (Reino Unido, UE, Australia, Canadá). **Responsabilidades** * Traducir los requisitos regulatorios y de auditoría en elementos de trabajo accionables, convirtiendo análisis de brechas HIPAA, controles de privacidad NIST 800-53 y hallazgos de auditoría en Funciones, Historias y Tareas bien delimitadas en Azure DevOps, con criterios de aceptación claros, estimaciones de esfuerzo y un responsable asignado; por ejemplo, transformar la frase "los requisitos de privacidad HIPAA aún no están definidos" en tareas de ingeniería asignables * Supervisar el avance de la entrega y mantener la higiene del backlog en todas las funciones activas de cumplimiento normativo, incluidos el control de acceso, la clasificación de datos, la eliminación de registros sensibles, el registro de auditoría, la retención y eliminación de datos, y las restricciones de acceso a los datos, cerrando brechas de responsabilidad y asignación a sprints antes de que se conviertan en riesgos registrados en el registro RAID * Redactar y ejecutar casos de prueba para verificar que los controles funcionen según lo diseñado, tales como restricciones de acceso privilegiado, accesos temporales mediante SailPoint, minimización de datos personales identificables (PII) y eliminación bajo solicitud, documentando sistemáticamente las evidencias de aprobación o rechazo * Gestionar integralmente el proceso de apoyo a auditorías, incluida la recepción, el seguimiento y el cumplimiento de las solicitudes de evidencia por parte de auditores externos, como las revisiones significativas de cambios FedRAMP de Schellman; mapear cada solicitud al control NIST 800-53 correspondiente, coordinar con los equipos de ingeniería, ISRM, Privacidad y Asuntos Legales para reunir los artefactos requeridos y entregarlos dentro del calendario establecido por el auditor * Elaborar informes periódicos sobre el estado del cumplimiento normativo para las partes interesadas y desarrollar automatizaciones ligeras, como scripts, paneles de control y tuberías de evidencia, para reducir el esfuerzo manual en futuros ciclos de auditoría a medida que el programa se expanda a nuevos clientes y jurisdicciones * Coordinar entre distintos equipos, colaborando con ISRM, la Oficina de Privacidad, el Departamento Legal, SRE y los equipos de plataformas en la nube para documentar los controles heredados de AWS/Azure (FedRAMP, SOC 2) frente a los controles que deben construirse y gestionarse internamente **Requisitos** * Mínimo 3 años de experiencia relevante en cumplimiento de seguridad/privacidad, GRC o ingeniería de cumplimiento, respaldando programas HIPAA y/o FedRAMP/NIST 800-53 * Conocimientos sólidos prácticos de las Normas de Seguridad y Privacidad HIPAA, incluidas las salvaguardas administrativas, físicas y técnicas, acuerdos de procesamiento de datos (BAAs), notificación de violaciones y estándares de mínimo necesario, así como las familias de controles NIST 800-53 como AC, AU, SI y PM * Capacidad demostrada para traducir el lenguaje normativo y regulatorio en elementos de backlog de ingeniería bien delimitados y estimables, utilizando herramientas como Azure DevOps, Jira u otras similares * Experiencia directa en el apoyo a auditorías de terceros, tales como SOC 2, FedRAMP o HITRUST, incluida la recopilación de evidencias, el mapeo de controles a evidencias y el cumplimiento de plazos fijados por los auditores * Conocimiento de entornos en la nube, como AWS GovCloud y/o Azure Government, y de los controles relevantes para el cumplimiento normativo, incluidos IAM/RBAC, cifrado/Gestión de claves (KMS), registro de auditoría y retención y eliminación de datos * Excelentes habilidades de comunicación en inglés (nivel B2 o superior) **Deseable** * Experiencia directa con Solicitudes Significativas de Cambio (SCR) FedRAMP y participación con evaluadores * Habilidades de creación de scripts y automatización, como Python o Bash, para automatizar la recopilación de evidencias, las pruebas de controles o los paneles de cumplimiento normativo * Experiencia con herramientas de gobernanza de identidad en AWS, como SailPoint o equivalentes, y gestión de políticas de acceso en S3, RDS, DynamoDB y Redshift * Conocimiento de regímenes internacionales de privacidad, como el Reglamento General de Protección de Datos (RGPD) del Reino Unido/UE, la Ley de Privacidad de Australia o la Ley de Protección de Información Personal y Documentos Electrónicos de Canadá (PIPEDA), o disposición para adquirir rápidamente dichos conocimientos a medida que se amplíe la cobertura * Certificaciones relevantes, como CIPP/US, CIPM, HCISPP, CISA, CISSP o certificaciones de seguridad de AWS/Azure * Experiencia en el seguimiento de la corrección de hallazgos de escaneos de seguridad mediante herramientas como Snyk, Wiz, Qualys o Burp, además de experiencia en la gestión de programas de rotación de secretos y certificados * Antecedentes en el soporte de productos SaaS para tecnología legal, atención sanitaria o sector público que manejen datos regulados **Ofrecemos** * Proyectos internacionales con marcas líderes * Trabajo con equipos globales altamente calificados y diversos * Beneficios médicos * Programas financieros para empleados * Días de vacaciones remunerados y licencias por enfermedad * Programas de actualización y reciclaje profesional, así como cursos de certificación * Acceso ilimitado a la biblioteca de LinkedIn Learning y a más de 22.000 cursos * Oportunidades profesionales globales * Oportunidades de voluntariado y participación comunitaria * Grupos de empleados de EPAM * Cultura galardonada reconocida por Glassdoor, Newsweek y LinkedIn