Ingeniero de seguridad ofensiva y auditoría de producto (H/M)

Dependencia: responsable de seguridad

Contexto

GripID es una empresa deep tech especializada en tecnologías de seguridad, identidad digital y biometría. Diseñamos y desarrollamos soluciones que combinan hardware seguro, biometría, ciberseguridad, blockchain y software, con el objetivo de asegurar la identificación, la autenticación y el intercambio de datos sensibles.

Nuestros productos combinan sensores y dispositivos biométricos, sistemas embebidos, elementos seguros, aplicaciones, servicios de back-end y tecnologías criptográficas. Están destinados a entornos exigentes, en particular en los sectores bancario, gubernamental y regulado.

En el marco del desarrollo y la certificación de nuestros productos, buscamos un perfil de seguridad práctico, capaz de trabajar en toda nuestra cadena tecnológica, desde el hardware embebido hasta las aplicaciones, los servicios y las infraestructuras.

Responsabilidades

• Realizar auditorías de seguridad y pruebas de intrusión en todos nuestros productos: hardware y sistemas embebidos, firmware, aplicaciones web y móviles, API, back-end e infraestructura.
• Identificar, explotar y analizar vulnerabilidades y evaluar su impacto.
• Redactar informes de auditoría claros y accionables: vulnerabilidades, nivel de riesgo, evidencias, recomendaciones y planes de remediación.
• Acompañar a los equipos en la corrección de vulnerabilidades y verificar la eficacia de las medidas correctivas.
• Participar en la preparación y el acompañamiento de las evaluaciones y certificaciones de seguridad de nuestros productos, en particular en el marco de Common Criteria.
• Preparar y realizar evaluaciones de seguridad previas a las auditorías externas y contribuir a los intercambios técnicos con los laboratorios de evaluación.
• Contribuir al desarrollo seguro: revisión de código, análisis de dependencias e integración de la seguridad en la cadena de desarrollo y producción de software.
• Participar en el tratamiento de las vulnerabilidades notificadas y en la mejora continua de la seguridad de los productos.
• Mantener una vigilancia de las nuevas vulnerabilidades, técnicas de ataque y métodos de evaluación.
• Acompañar a los equipos técnicos y ayudarles a desarrollar competencias en buenas prácticas de seguridad y en las vulnerabilidades identificadas.

Competencias requeridas

• Experiencia acreditada en pruebas de intrusión y auditoría de seguridad.
• Dominio del pentesting web, móvil, de API y de infraestructura.
• Experiencia en seguridad de sistemas embebidos y objetos conectados: firmware, protocolos de radio, en particular BLE.
• Competencias en ingeniería inversa.
• Dominio de metodologías y marcos de referencia reconocidos, en particular OWASP.
• Capacidad de analizar una vulnerabilidad, demostrar su explotabilidad y evaluar su impacto.
• Capacidad de presentar los resultados de una auditoría a interlocutores técnicos y no técnicos.
• Inglés profesional.

Competencias valoradas

• Ataques de hardware: inyección de fallos, interfaces de depuración, análisis de los mecanismos de protección.
• Seguridad de tarjetas inteligentes y elementos seguros.
• Experiencia en evaluaciones y certificaciones de seguridad de producto, en particular Common Criteria.
• Experiencia en DevSecOps y en el aseguramiento de pipelines CI/CD.
• Conocimientos de criptografía, PKI y gestión de claves.
• Experiencia en la redacción de expedientes o informes para evaluaciones de seguridad.
• Experiencia en la formación o el acompañamiento de equipos técnicos.