Consultor/a de Ciberseguridad, GRC y Cumplimiento (perfil IT/Dev)

En Codevsys ayudamos a operadores de infraestructura crítica, principalmente del sector eléctrico, a cumplir con ISO/IEC 27001, NERC-CIP (CEN), Ley 21.663 y Ley 21.719. Buscamos a alguien técnico que quiera llevar la ciberseguridad de la norma a la práctica. Qué harás:

• Implementar SGSI bajo ISO/IEC 27001:2022 en clientes: Declaración de Aplicabilidad y aterrizaje de los controles del Anexo A (organizacionales, de personas, físicos y tecnológicos).
• Liderar levantamientos de riesgos de seguridad de la información y ciberseguridad (IT/OT): identificación de activos, amenazas y vulnerabilidades, evaluación, planes de tratamiento y seguimiento.
• Revisar el cumplimiento de NERC-CIP del CEN en plantas y centros de control: gap assessments, levantamiento de evidencia y planes de remediación (CIP-002 a CIP-014).
• Traducir requisitos normativos en configuraciones, procedimientos y evidencia técnica verificable.
• Apoyar en el desarrollo y la automatización de nuestras herramientas internas y de la plataforma Dpolab.

• Background en desarrollo de software: Python, JavaScript/TypeScript, APIs, scripting o automatización.
• Experiencia comprobada implementando ISO/IEC 27001 en al menos 1 proyecto: Declaración de Aplicabilidad e implementación de los controles del Anexo A, idealmente hasta la auditoría de certificación.
• Experiencia comprobada en revisión o implementación de NERC-CIP, idealmente bajo el estándar del CEN: gap assessments, levantamiento de evidencia y planes de remediación.
• Experiencia comprobada en levantamiento y gestión de riesgos, con metodologías como ISO/IEC 27005, ISO 31000, NIST SP 800-30 o similares.
• Conocimiento de la Ley 21.663 (ANCI, OIV) y de la Ley 21.719 Protección de Datos.
• Capacidad de redactar documentación clara y de relacionarse con equipos técnicos y gerenciales.

• Experiencia en pentesting (ethical hacking, análisis de vulnerabilidades en infraestructura y aplicaciones web) con herramientas como Burp Suite, Nmap, Metasploit o similares.
• Administración de Microsoft 365: Entra ID (acceso condicional, MFA, roles y PIM), Purview (etiquetas de sensibilidad, DLP, retención), reglas de Exchange Online y Defender for Office 365.

• Proyectos reales en infraestructura crítica, con clientes líderes del sector energía.
• Un equipo pequeño y especializado, con mucho espacio para aprender y proponer.