Analista Sr de Riesgo Tecnológico

Responsable Ejecuta de forma autónoma las evaluaciones de riesgo tecnológico y de ciberseguridad de los proyectos digitales, aplicando ISO 27005, ISO 31000 y NIST CSF 2.0 (GV.RM e ID.RA). Analiza escenarios de riesgo de mediana y alta complejidad, propone tratamientos y da seguimiento a su implementación. Actúa como referente técnico para los analistas de menor experiencia.

• Realizar evaluaciones de riesgo tecnológico de los proyectos asignados: identificar activos, amenazas y vulnerabilidades, valorar probabilidad e impacto y calcular el riesgo inherente y residual.
• Mantener actualizado el registro de riesgos de sus proyectos, con dueño, controles, plan de tratamiento y fechas de revisión.
• Analizar resultados de escaneos de vulnerabilidades, pruebas de penetración y revisiones de arquitectura para traducirlos en escenarios de riesgo priorizados.
• Ejecutar modelado de amenazas (STRIDE o similar) en revisiones de seguridad en diseño de nuevos proyectos y cambios relevantes.
• Proponer planes de tratamiento y controles, y verificar con los equipos responsables que se implementen en tiempo y forma.
• Realizar evaluaciones de riesgo de terceros y proveedores: integraciones, flujo y manejo de datos, dependencia operativa y controles reportados.
• Documentar el análisis técnico de las solicitudes de aceptación de riesgo y de excepción de política, incluyendo el riesgo residual y los controles compensatorios.
• Medir y reportar los indicadores clave de riesgo (KRI) asignados, alertando al Líder Técnico cuando se acerquen a los umbrales de tolerancia.
• Participar en los análisis posteriores a incidentes de seguridad y fraude para actualizar escenarios y valoraciones de riesgo.
• Aplicar cuantificación de riesgo (por ejemplo FAIR) en escenarios críticos cuando se le asigne.
• Preparar mapas de calor, tableros e informes técnicos de riesgo de sus proyectos.
• Revisar el trabajo de los analistas de menor experiencia y apoyar su formación en la metodología.

• Graduado universitario en Ingeniería en Sistemas, Ingeniería Informática, Ciencias de la Computación o carrera afín.
• Certificaciones: CRISC, ISO 27005 Risk Manager o CompTIA Security+ (deseable). ISO 31000, CISA u Open FAIR son un plus.
• Experiencia mínima de 3 años en gestión de riesgos de TI, seguridad de la información o auditoría técnica.
• Dominio de ISO 27005, ISO 31000 y NIST CSF 2.0; conocimiento de NIST SP 800-30 deseable.
• Conocimiento técnico en arquitecturas de aplicaciones, redes, nube, gestión de identidades y gestión de vulnerabilidades (interpretación de CVSS).
• Experiencia con herramientas GRC y manejo avanzado de hojas de cálculo o herramientas de visualización para tableros de riesgo.
• Capacidad para redactar informes técnicos claros y explicar riesgos a equipos técnicos y de negocio.