Oficial de Seguridad

El Oficial de seguridad informática (ISO), es la persona responsable de planear, coordinar y administrar los procesos de seguridad informática en una organización.

El Oficial de seguridad informática tiene la función de brindar los servicios de seguridad en la organización, a través de la planeación, coordinación y administración de los procesos de seguridad informática, así como difundir la cultura de seguridad informática entre todos los miembros de la organización.

Objetivos
- Aplicar una metodología de análisis de riesgo para evaluar la seguridad informática en la organización.
- Proponer, desarrollar y documentar las políticas y normas de seguridad, así como controlar su implantación y el cumplimiento de estas.
- Seleccionar los mecanismos y herramientas adecuados que permitan aplicar las políticas dentro de la empresa.
- Atender y dar respuesta a incidentes de seguridad, para atender los problemas relacionados a la seguridad informática dentro de la organización.
- Promover y ejecutar auditorías enfocadas a la seguridad, para evaluar las prácticas de seguridad informática dentro de la organización.
- Liderar un equipo de seguridad informática en la organización.
- Desarrollar y promover actividades en relación con la Seguridad de Información de la empresa, así como promover y administrar programas de capacitación para el personal en referencia al tema.
- Hacer seguimiento y monitoreo de los indicadores, proyectos, incidentes, servicios y controles asociados a seguridad informática, así como identificar posibles riesgos tomando medidas de mitigación.
- Asistir a la Empresa en materias como evaluación de amenazas en redes, detección de intrusos, mecanismos de protección ante software y usuarios maliciosos, procesamiento de logs de seguridad y respuesta a incidentes de seguridad.
- Asimismo, debe coordinar y revisar los planes de sistemas relacionados con seguridad, redes y otros elementos de la infraestructura de procesamiento y comunicaciones.
- Asesorar a la organización y mantenerla actualizada, acerca de las tecnologías de seguridad y de los elementos normativos y regulatorios que afectan la Seguridad de Información, chequeando el cumplimiento de las normas de seguridad establecidas.
- Proponer, desarrollar y liderar proyectos de seguridad de la información.
- Aprobar los pasos a producción de proyectos de infraestructura o de desarrollo, evaluando el impacto en seguridad de nuevas implementaciones tecnológicas.
- Coordinar y documentar las actividades del Comité de Seguridad, así como hacer seguimiento a los acuerdos tomados en esta instancia.
- Analizar alternativas y desarrollos tecnológicos que existan en el mercado, por medio de la realización de investigación, en particular en aquellos aspectos de mayor relevancia para la administración de seguridad y sus herramientas.
- Gestionar el Plan de Continuidad del Negocio (PCN).
- Coordinar a las distintas áreas de la compañía para elaborar planes y procedimientos tendientes a contrarrestar las interrupciones de las actividades comerciales.
- Analizar en conjunto con las distintas áreas, las consecuencias de desastres, fallas de seguridad e interrupciones del servicio, y coordinar que las variables relevantes determinadas formen parte del plan de continuidad del negocio.
- Proponer, desarrollar y liderar proyectos de Hardening en servidores y plataformas.

Conocimientos y experiência mínima
- Conocimiento transversal de TI (Desarrollo, Infraestructura, Redes, Ciberseguridad)
- Manejo de Sistemas Operativos (Windows, Linux) a nível de usuario avanzado
- Pila de protocolos TCP/IP
- Protocolos de comunicación (RPC, TCP, UDP)
- Conocimiento en alguno de los siguientes Lenguajes de programación (PHP con Laravel, Javascript, C#,.Net, Python) para identificar brechas a nível de desarrollo.
- Conocimiento en alguna de las siguientes bases de datos: MySQL, SQL Server
- Conocimientos de en alguna tecnología cloud: AWS - Azure (Servicios de seguridad que tienen)
- Legislación informática
- Protocolos de seguridad (IPSec)
- Herramientas de Seguridad (scanners, firewalls, IDS, IPS, WAF)
- Mecanismos de Seguridad (firmas digitales, certificados, MFA, 2FA)
- Conocimientos de estándares ISO 27001, OWASP, PCI DSS, NIST
- Conocimiento de DAST y SAST
- Manejo herramientas de Análisis de vulnerabilidades (ZAP, Nexus)Conocimientos y experiência deseable
- Manejo de Sistemas Operativos (Windows, Linux, UNIX) a nível de administrador
- Programación de sockets (RAW, TCP, UDP)
- Criptografías
- Programación del Shell
- Tener iniciativa y habilidades de Planeación, organización y comunicación.

Deberes y **Responsabilidades**:
A continuación, un listado de deberes y responsabilidades recomendados:

- El ISO tiene como principal responsabilidad la administración y coordinación diaria del proceso de Seguridad Informática de la institución.
- Tiene como responsabilidad asegurar el buen funcionamiento del proceso de Seguridad Informática de la institución. Debe ser el punto de referencia para todos los procesos de seguridad y ser capaz de guiar y aconsejar a los usuarios de la institución sobre cómo desarrollar procedimientos para la protección de los recursos de software y hardware.
- Es responsabilidad del ISO la elaboración de un Plan de Respuesta a Incidentes de Seguridad, con la finalidad de dar una respuesta rápida, que sirva para la investigación del evento y para la corrección del proceso mismo.
- Una tarea clave para el ISO es guiar al cuerpo directivo y a la administración de la organización ante incidentes de seguridad mediante un Plan de Respuesta a Incidentes.
- El ISO es responsable de proponer y coordinar la realización de un análisis de riesgos formal en seguridad de la información que abarque toda la organización.
- Es deber del ISO el desarrollo de procedimientos de seguridad detallados que fortalezcan la política de seguridad informática institucional.
- Es responsabilidad del ISO promover la creación y actualización de las políticas de seguridad informática, debido al comportamiento cambiante de la tecnología que trae consigo nuevos riesgos y amenazas.
- Es responsabilidad del ISO el desarrollo de un Plan de Seguridad de la Información.
- Es responsabilidad del ISO coordinar la realización periódica de auditorías a las prácticas de seguridad informática, así como, dar seguimiento al corto plazo de las recomendaciones que hayan resultado de cada auditoria.
- El ISO debe ser el punto central dentro de la organización para la revisión de problemas de seguridad de la información existentes y de aquellos que se consideran potenciales.