Especialista en Ciberseguridad de Terceros 

Misión del cargo 

Gestionar integralmente el riesgo la postura de ciberseguridad asociado a proveedores, terceros y servicios externalizados del Banco, asegurando que estos cumplan con los estándares de seguridad, normativas regulatorias y apetito de riesgo de Produbanco, mitigando a través de la mitigación de riesgos operativos, tecnológicos y reputacionales a lo largo de todo su ciclo de vida. 

Responsabilidades clave 

Gobierno y marco de ciberseguridad de terceros 

• Revisar, definir y mantener políticas, estándares y procedimientos de ciberseguridad aplicables a terceros. 

• Participar en la evolución del modelo de Gobierno de Terceros, alineado a las mejores prácticas y regulaciones vigentes. 

• Asegurar la integración de requisitos de seguridad en el proceso de abastecimiento y contratación de servicios TIC. 

Evaluación y certificación de terceros y sus servicios 

• Ejecutar y supervisar procesos de due diligence de ciberseguridad para proveedores críticos previo a su contratación. 

• Definir, actualizar y aplicar la metodología de certificación y evaluación de riesgo de terceros. 

• Participar en la clasificación de Clasificar proveedores según su nivel de criticidad y riesgo asociado. 

• Liderar la certificación de terceros críticos y estratégicos con alto nivel de riesgo y evaluar los mitigadores para el resto de los proveedores según su clasificación. 

• Diseñar y ejecutar pruebas de validación documental, especializada y técnica para validar la postura de seguridad de los proveedores y sus servicios. 

• Ampliar la cobertura y profundidad de evaluación en función del riesgo, tipo de servicio y criticidad. 

• Evaluar, en conjunto con los equipos técnicos, los requisitos de seguridad de la información y ciberseguridad para soluciones de servicios cloud (SaaS, Paas y los que apliquen) 

Gestión de contratos y cumplimiento 

• Definir y actualizar cláusulas contractuales de ciberseguridad, seguridad de la información, privacidad de datos e inteligencia artificial según el nivel de riesgo del servicio. 

• Revisar contratos vigentes asegurando cumplimiento de requisitos mínimos de seguridad. 

• Establecer y monitorear los requerimientos contractuales de seguridad aplicables a proveedores. 

• Coordinar la entrega de información requerida por auditoría interna, externa y entes reguladores. 

Monitoreo y gestión continua del riesgo 

• Mantener actualizado el inventario de terceros, con clasificación por criticidad, arquitecturas, servicios entregados, puntos de contacto, infraestructura y evaluaciones vigentes. 

• Realizar seguimiento a los planes de acción derivados de certificación y auditorías. 

• Gestionar hallazgos de auditorías relacionadas con terceros y su remediación. 

• Evaluar el riesgo de concentración en proveedores críticos, especialmente en servicios cloud y tecnología. 

• Identificar riesgos emergentes asociados a terceros (cloud, fintech, integraciones, IA, etc.). 

 Gestión de incidentes y coordinación interáreas 

• Coordinar la respuesta ante incidentes de ciberseguridad asociados a terceros, en conjunto con Ciberdefensa, TI y Riesgos. 

• Asegurar que los proveedores cumplan con tiempos y protocolos de respuesta ante incidentes. 

• Identificar oportunidades de mejora en la gestión de terceros desde una perspectiva técnica y organizacional. 

Experiencia 

3 a 5 años en adelante. 

Especificidad de la experiencia 

• Experiencia en gestión de terceros, ciberseguridad, riesgo tecnológico o cumplimiento. 

• Participación en procesos de evaluación de proveedores o auditorías. 

• Interacción con áreas de Abastecimiento, Legal, Tecnología y Riesgos. 

• Deseable experiencia en banca o sectores altamente regulados. 

Formación académica 

• Obligatoria:  

• Ingeniería, Sistemas, Administración, Auditoría o carreras afines. 

• Deseable (no excluyente):  

• Especialización o posgrado en:  

• Ciberseguridad 

• Riesgos 

• Compliance 

• Gestión de proveedores 

Otras áreas de conocimiento (deseables) 

• ISO 27001 / ISO 27002. 

• ISO 27036 (seguridad en relaciones con proveedores). 

• NIST Third Party Risk Management (TPRM). 

• Cloud Security y modelo de responsabilidad compartida. 

• Regulación bancaria en outsourcing y servicios críticos. 

• Gestión contractual y compliance. 

• DORA 

Conocimientos técnicos funcionales 

• Gestión de riesgo de terceros. 

• Evaluación de ciberseguridad de proveedores. 

• Due diligence tecnológica y de seguridad. 

• Gestión contractual de seguridad. 

• Auditoría y seguimiento de hallazgos. 

• Clasificación de proveedores por criticidad. 

• Gestión de incidentes relacionados con terceros. 

• Seguridad en servicios cloud y tecnología tercerizada. 

Certificaciones 

Deseables (no obligatorias): 

• CISM 

• CRISC 

• ISO 27001 Lead Auditor / Implementer 

• Certificaciones en Third Party Risk o Vendor Risk Management