El puesto en breve
Via.io busca un ingeniero o una ingeniera de ciberseguridad. El puesto abarca las empresas del grupo Via.io. La persona seleccionada lidera el gobierno de ISO 27001 y es su experta en IAM. Es además la referente técnica de seguridad de los productos SaaS de las empresas, desde el diseño hasta la operación. El puesto es técnico en una mitad; la otra mitad abarca el gobierno de ISO 27001 y el RGPD.
Interlocutores
Función transversal en todas las empresas del grupo, en estrecho contacto con los equipos de I+D y Operaciones.
Prioridades al incorporarse
Dominar Keycloak, en el centro de la autenticación y la autorización de los productos de Apizee; mantener la certificación ISO 27001.
Misiones y actividades
Tres misiones estructuran el puesto; los porcentajes de tiempo son orientativos.
≈ 50 %Gobierno de ISO 27001 y RGPD
- Liderar el componente de IAM del SGSI: política de gestión de identidades y accesos, política de contraseñas, procedimientos de acceso, altas y bajas. Realizar las revisiones periódicas de los derechos de acceso sobre los activos críticos, mantener al día el registro unificado de identidades y accesos, y seguir sus indicadores.
- Automatizar estas revisiones con Assets Guardian, herramienta de código abierto (Python) publicada por Apizee: conectores, motor de reglas, informes y alertas.
- Contribuir a todos los ámbitos de ISO 27001: análisis de riesgos (EBIOS RM), supervisión y resiliencia de las plataformas, gestión de incidentes de seguridad, etc.
- Tratar las desviaciones detectadas en las auditorías de seguridad y contribuir al plan de corrección de las no conformidades identificadas.
- Atender las solicitudes técnicas relacionadas con el RGPD, como el ejercicio del derecho de supresión, y mantener al día el registro de actividades de tratamiento.
- Diseñar y dirigir las acciones de concienciación de todos los empleados (campañas de phishing simulado, presentaciones).
- Detectar y gestionar los incidentes de seguridad: analizar las alertas de distintas fuentes (SOC y EDR), examinar los registros centralizados en ELK y los resultados de supervisión, y coordinar después el tratamiento técnico (calificación, estrategia de corrección, informe final).
≈ 25 %IAM y Keycloak
- Administrar las instancias de Keycloak de todos los entornos: actualizaciones de versión (Keycloak, PostgreSQL) y refuerzo de las configuraciones.
- Auditar la configuración de los realms, los clientes, las conexiones con proveedores de identidad externos y, en general, los flujos de autenticación (OpenID Connect, SAML 2.0, OAuth 2.0).
- Hacer evolucionar el modelo de autorizaciones de los productos de Apizee, delegado en Keycloak (PBAC, FGAC, RBAC, ReBAC; Keycloak Authorization Services).
- Prestar soporte de nivel 2 y 3 sobre Keycloak, en particular en las conexiones SSO, y acompañar las integraciones de grandes cuentas.
- Dotar de herramientas la administración de Keycloak: migraciones y control de conformidad de los realms.
- Administrar el componente de IAM de Microsoft 365 (Microsoft Entra ID): cuentas, accesos de proveedores externos, SSO de aplicaciones de terceros, refuerzo y auditorías.
- Administrar las identidades y los accesos de GitLab: cuentas, accesos de proveedores externos, refuerzo y auditorías.
- Controlar las identidades y los accesos de las herramientas internas del sistema de información, conforme a los principios de mínimo privilegio y necesidad de conocer.
≈ 25 %Seguridad de producto y de alojamiento
- Ser el referente de seguridad ante los equipos de I+D (Security by Design y Privacy by Design), desde el diseño de un producto o una funcionalidad hasta su puesta en producción: arquitectura de software, segmentación de accesos, elección de criptografía, seguridad de los CI/CD y minimización de datos (RGPD).
- Ser el referente de seguridad ante el equipo de Plataforma/Operaciones en materia de alojamiento: despliegue de soluciones de seguridad (WAF, gestión de secretos, EDR), elección de criptografía, supervisión y arquitectura Kubernetes.
- Formar a los equipos de I+D y de Plataforma/Operaciones en desarrollo y operación seguros.
- Traducir los requisitos de seguridad de las grandes cuentas en planes de acción, y participar en la respuesta a cuestionarios de seguridad y licitaciones.
- Mantener una vigilancia activa de las amenazas y vulnerabilidades en todo el entorno tecnológico de las empresas (productos, alojamiento, herramientas internas): valorar su impacto y activar las actualizaciones o correcciones con los equipos implicados.
Perfil buscado
El puesto se dirige a un ingeniero o una ingeniera de seguridad con perfil dominante de GRC e IAM, capaz de desarrollar sus propias herramientas para automatizar lo que se pueda en una empresa de tamaño humano.
Competencias imprescindibles
- Protocolos de identidad (OAuth 2.0, OpenID Connect, SAML 2.0, JWT, PKCE) y administración de un proveedor de identidad, idealmente Keycloak.
- Bases sólidas en gobierno de ISO 27001 (construcción de un SGSI), análisis de riesgos (EBIOS RM, por ejemplo) y RGPD.
- Administración de Microsoft 365, principalmente Microsoft Entra ID (Microsoft Intune es un plus).
- Seguridad de aplicaciones web: OWASP Top 10, autenticación y autorización, gestión de secretos, etc.
- Desarrollo de scripts y herramientas en Python y/o PowerShell, consumo de API REST.
Se valorará
- DevSecOps: GitLab CI/CD, Docker, Kubernetes.
- Certificación ISO 27001 Lead Implementer.
- Desarrollo web en JavaScript/TypeScript con frameworks Node.js.
Cualidades personales
- Capacidad de redacción: elaborar políticas y procedimientos en el marco de ISO 27001.
- Pedagogía: concienciar a I+D, Operaciones, los equipos comerciales y la dirección sobre los retos de la ciberseguridad.
- Actitud de consultoría: equilibrar los requisitos de seguridad y las necesidades del negocio sin bloquear los proyectos.
- Autonomía y rigor documental: dejar constancia y demostrar, como exige ISO 27001.
Cómo postular
Empleador: Via.io. Ámbito: las empresas del grupo Via.io. El puesto está ubicado en el 152 boulevard Pereire, 75017 París.
Postular a jobs@via.io