Estados Unidos
HEARTLAND BUSINESS SYSTEMS LLC
Lockton
Responsable Global de Seguridad de Aplicaciones
Estados Unidos
Overland Park, Kansas, United States
JavaScriptTypeScriptPythonJavaGo
Traducción automática. Consulta el original.
Sobre la oportunidad
El Responsable Global de Seguridad de Aplicaciones es el propietario de la ejecución diaria del programa de seguridad de aplicaciones y DevSecOps en todas las unidades de negocio y regiones. Este puesto es responsable de los controles de seguridad integrados en el ciclo de vida de desarrollo de software, desde el diseño seguro y el modelado de amenazas hasta el análisis estático y de composición, pruebas dinámicas, gestión de secretos y endurecimiento de la producción.
Se trata de un puesto de liderazgo técnico práctico con responsabilidad en la gestión de personas. El responsable dirige el equipo de ingeniería de seguridad de aplicaciones, establece los estándares de trabajo que siguen los equipos de ingeniería, gestiona el conjunto de herramientas de AppSec y realiza y dirige las pruebas a nivel de aplicación. La estrategia, el presupuesto y los informes ejecutivos corresponden al Arquitecto Global de Seguridad Empresarial; el responsable es responsable de la ejecución de dicha estrategia, de la calidad técnica del programa y del rendimiento y desarrollo del equipo.
Detalles del puesto
Reporta a: Arquitecto Global de Seguridad Empresarial, Arquitectura e Ingeniería de Seguridad (SA&E)
Ubicación: Kansas City, MO. Presencial tres días a la semana.
Viajes: Viajes periódicos a centros tecnológicos regionales.
Cobertura: Apoyo a equipos de ingeniería en zonas horarias de EE. UU., Reino Unido, MENA y APAC.
Reportes directos: 2 ingenieros de seguridad de aplicaciones, además de la dirección técnica de los recursos de ingeniería offshore de LGCC.
Primeros 12 meses - Medidas de éxito
- Herramientas de AppSec desplegadas e integradas en el 80%25 de repositorios de nivel 1 y nivel 2 con cobertura de escaneo acordada
- Clasificación de riesgos completada para toda la cartera de aplicaciones y expectativas de control publicadas por nivel
- SLAs de remediación definidos, acordados con el liderazgo de ingeniería y reportados mensualmente
- Programa de Campeones de Seguridad operando con campeones nombrados en cada grupo principal de ingeniería
- Barreras de seguridad para codificación asistida por IA implementadas y adopción medida en toda la población de desarrolladores
- Estructura del equipo, expectativas de rol y planes de desarrollo individual establecidos para todos los reportes directos
#LI-JM
Responsabilidades principales
Ejecución del programa
- Ejecutar la hoja de ruta de seguridad de aplicaciones por fases establecida por el Arquitecto Global de Seguridad Empresarial, asumiendo la entrega de hitos, dependencias e informes de estado
- Operar el modelo de gobernanza de aplicaciones por niveles (T1/T2/T3), incluyendo la admisión de clasificación de riesgos, expectativas de control por nivel y reclasificación periódica de la cartera de aplicaciones
- Definir y mantener estándares de SDLC seguro, directrices de codificación segura y puertas de control en cada etapa del pipeline de desarrollo
- Realizar el seguimiento y reportar métricas operativas de AppSec: cobertura de escaneo, volumen de hallazgos por gravedad, tiempo medio de remediación, cumplimiento de SLA y acumulación de excepciones
- Mantener el registro de excepciones y aceptación de riesgos de seguridad de aplicaciones, escalando riesgos materiales al Arquitecto Global de Seguridad Empresarial
Propiedad técnica
- Poseer el conjunto de herramientas de AppSec de principio a fin: SAST, SCA, DAST, escaneo de secretos y escaneo de contenedores e IaC, incluyendo despliegue, ajuste, gestión de reglas e integración en el pipeline
- Liderar ejercicios de prueba de concepto de herramientas, definir criterios de evaluación, realizar comparativas técnicas y producir documentación de recomendaciones para la revisión de arquitectura
- Realizar y dirigir pruebas de penetración de aplicaciones internas, revisión manual de código y modelado de amenazas en aplicaciones de nivel 1 y de alto riesgo
- Clasificar hallazgos de todas las fuentes, validar la explotabilidad, eliminar falsos positivos e impulsar la remediación con los equipos de ingeniería propietarios
- Gestionar el alcance de pruebas de penetración de terceros, coordinación de proveedores, validación de hallazgos y cierre de re-pruebas
- Mantener y aplicar barreras de seguridad para el desarrollo asistido por IA, incluyendo herramientas de codificación de IA aprobadas, herramientas de agentes, uso de servidores MCP y controles de procedencia de dependencias que aborden el riesgo de cadena de suministro y slopsquatting
Liderazgo de equipo y gestión de personas
- Construir, liderar y desarrollar el equipo de ingeniería de seguridad de aplicaciones, incluyendo personal local y recursos de ingeniería offshore de LGCC
- Gestionar la contratación para la función: definición de roles, diseño del proceso de entrevistas, evaluación de candidatos e incorporación
- Realizar evaluaciones de desempeño, establecer objetivos individuales y gestionar preocupaciones de rendimiento en colaboración con RR. HH.
- Definir trayectorias profesionales, matrices de habilidades técnicas y planes de desarrollo individual para ingenieros de seguridad de aplicaciones
- Asignar trabajo y gestionar la capacidad del equipo frente a la hoja de ruta del programa y la demanda de entrada
- Proporcionar mentoría técnica sobre revisión de código seguro, técnicas de explotación, operación de herramientas y calidad en la redacción de hallazgos
- Proporcionar aportes para la planificación de personal y solicitudes de recursos offshore para su revisión por parte del Arquitecto Global de Seguridad Empresarial
- Definir manuales operativos, playbooks y procedimientos repetibles para que las operaciones de AppSec no dependan del conocimiento individual
- Gestionar la coordinación diaria y las transferencias entre las zonas horarias de EE. UU., Reino Unido, MENA y APAC
Asociación interfuncional
- Colaborar con los equipos de Ingeniería, DevOps, Plataforma y Producto para integrar controles en los flujos de trabajo de entrega con una fricción mínima para la velocidad de lanzamiento
- Actuar como primera línea de escalada técnica para hallazgos de seguridad de aplicaciones, disputas de remediación y decisiones de bloqueo de lanzamientos, escalando decisiones de riesgo no resueltas hacia arriba
- Apoyar a los equipos de GRC y auditoría con evidencia, narrativas de control y artefactos de prueba para las obligaciones de NYDFS 23 NYCRR 500, HITRUST, GDPR y DORA
- Apoyar la respuesta a incidentes para incidentes relacionados con software, incluyendo clasificación de vulnerabilidades, análisis de exploits y contribución a la causa raíz
- Traducir hallazgos técnicos en impacto empresarial para los propietarios de aplicaciones y partes interesadas no técnicas
Campeones de seguridad y cultura
- Operar el programa de Campeones de Seguridad dentro de los equipos de ingeniería, incluyendo la selección de campeones, contenido de habilitación y sesiones de trabajo recurrentes
- Impartir formación en codificación segura y habilitación dirigida basada en patrones de defectos observados en el código base
- Impulsar la adopción de shift-left para que los defectos de seguridad se encuentren y corrijan en el desarrollo en lugar de en las puertas de lanzamiento
Requisitos mínimos
- 10 años en seguridad de aplicaciones, seguridad de productos o ingeniería de software segura, incluyendo 2 años en capacidad de liderazgo o gestión
- Experiencia demostrada en gestión de personas, incluyendo contratación, gestión de desempeño y desarrollo profesional de personal de seguridad o ingeniería
- Experiencia liderando equipos distribuidos en múltiples zonas horarias, incluyendo recursos de ingeniería offshore
- Experiencia práctica demostrada operando herramientas de SAST, SCA, DAST y escaneo de secretos a escala empresarial, incluyendo integración en pipeline y ajuste de reglas
- Capacidad probada para realizar revisión manual de código seguro y pruebas de penetración de aplicaciones, con dominio de Burp Suite Pro o equivalente
- Conocimiento práctico de al menos dos de: .NET, Java, Python, JavaScript/TypeScript, Go
- Experiencia práctica asegurando pipelines de CI/CD y cargas de trabajo nativas de la nube, con preferencia por Azure y Azure DevOps o GitHub Actions
- Fluidez con OWASP Top 10, OWASP ASVS, OWASP SAMM o BSIMM, y CWE
- Experiencia apoyando auditorías regulatorias o de certificación en una industria regulada
- Capacidad para escribir hallazgos técnicos claros y estructurados y documentación de estándares tanto para audiencias de ingeniería como de auditoría
Cualificaciones preferidas
- Experiencia en servicios financieros, seguros u otra industria regulada
- Experiencia con seguridad de la cadena de suministro de software, generación de SBOM y controles de procedencia de dependencias
- Experiencia definiendo controles para herramientas de desarrollo asistido por IA y revisión de código generado por IA
- Certificaciones como OSWE, OSCP, GWAPT, CSSLP o CISSP
Más oportunidades con un solo perfil
¿Quieres optar a más puestos sin repetir todo el proceso? Crea tu perfil para que te encuentren las empresas que usan Nort.
Crear mi perfil