SobreSilia
EnSilia, nos especializamos en aprovechar el poder de la inteligencia artificial y el aprendizaje automático para transformar negocios. Nuestra misión es ayudar a los clientes a reducir costos, aumentar la eficiencia y desbloquear nuevas oportunidades mediante soluciones de IA de vanguardia. Como empresa que desarrolla sistemas críticos basados en modelos de lenguaje grande (LLMs) y IA generativa, la seguridad no es solo una prioridad, es fundamental para nuestra propuesta de valor.
Descripción del Puesto
Como CybersecurityEngineer especializado en seguridad de IA, serás el guardián de la integridad, confidencialidad y disponibilidad de nuestras aplicaciones basadas en LLMs y sistemas de IA generativa. En este rol crítico, tendrás la responsabilidad completa de diseñar, implementar y mantener la postura de seguridad de nuestra plataforma SaaS, con énfasis particular en los riesgos únicos que presentan las aplicaciones de IA.
Serás el experto en seguridad que entiende tanto las amenazas tradicionales de ciberseguridad como los vectores de ataque emergentes específicos de sistemas de IA: promptinjection, datapoisoning, modelextraction, jailbreaking, y exfiltración de datos a través de modelos. Tu expertise será fundamental para mantener la confianza de nuestros clientes mientras innovamos con tecnologías de vanguardia.
Este rol requiere una mentalidad de "redteam" combinada con capacidades de "blueteam", pensamiento adversarial aplicado a sistemas de IA, y la habilidad de traducir conceptos técnicos complejos de seguridad a recomendaciones prácticas para equipos de desarrollo y liderazgo.
Seguridad Específica para LLMs y Generative AI
Evaluación y Mitigación de Amenazas
* PromptInjectionDefense: Diseñar e implementar múltiples capas de defensa contra ataques de promptinjection (direct, indirect, virtualized), incluyendo input sanitization, content filtering, y detección de patrones adversariales
* JailbreakingPrevention: Desarrollar y mantener guardrails robustos para prevenir bypass de restricciones del modelo, incluyendo técnicas como DAN (DoAnythingNow), role‑playing attacks, y encoding‑based evasion
* ModelSecurityTesting: Realizar penetration testing especializado en modelos de IA, evaluando vulnerabilidades en model extraction, membership inference, model inversion, y backdoor attacks
* DataPoisoningDetection: Implementar controles para detectar y prevenir envenenamiento de datos de entrenamiento, contaminación de embeddings, y manipulación de fine‑tuning datasets
Seguridad de Datos y Privacy en Contexto de IA
* PIILeakagePrevention: Diseñar sistemas para prevenir la exposición de información personal identificable a través de respuestas del modelo, training data memorization, y prompt leakage
* Sensitive DataHandling: Implementar protocolos seguros para manejo de datos sensibles en contextos de IA, incluyendo data masking, redaction automática, y clasificación de sensibilidad de prompts/responses
* Training Data Security: Establecer controles de seguridad para proteger datos de entrenamiento, fine‑tuning datasets, y embeddings vectoriales, incluyendo encryption, access controls, y audit trails
* OutputValidation: Desarrollar mecanismos automáticos de validación de outputs del modelo para detectar exposición de información sensible, hallucinations con datos reales, y compliance violations
Seguridad de Infraestructura de IA
* ModelServingSecurity: Asegurar la infraestructura de inference, incluyendo protección de APIs de modelo, rate limiting inteligente, y detección de abuse patterns
* VectorDatabaseSecurity: Implementar controles de seguridad para bases de datos vectoriales (Pinecone, Weaviate, etc.), incluyendo access controls, encryption at rest/in transit, y audit logging
* API Gateway Hardening: Configurar y mantener API gateways específicamente optimizados para tráfico de IA, con capacidades de threat detection, DDoS protection, y abuse prevention
* SupplyChainSecurity: Evaluar y mitigar riesgos en la cadena de suministro de IA, incluyendo third‑party models, pre‑trained weights, embeddings, y ML libraries
Seguridad de Aplicaciones (ApplicationSecurity)
Security Testing y Vulnerability Management
* SecurityCodeReview: Realizar revisiones de seguridad profundas del código, con enfoque especial en implementaciones de IA, prompt engineering seguro, y integración de modelos
* PenetrationTesting: Coordinar y ejecutar pentests regulares, tanto automated como manual, incluyendo web application security, API security, y AI‑specific attack vectors
* VulnerabilityAssessment: Implementar y mantener programas continuos de scanning de vulnerabilidades, incluyendo SAST, DAST, SCA, y AI‑specific security scanning
* SecurityAutomation: Desarrollar y mantener pipelines de security testing automatizados integrados en CI/CD, incluyendo pre‑commit hooks, automated security gates, y continuous compliance checking
Secure Development Lifecycle
* SecuritybyDesign: Colaborar con equipos de desarrollo para implementar principios de security by design desde las fases tempranas de arquitectura, especialmente para features de IA
* ThreatModeling: Conducir sesiones de threat modeling para nuevas features y cambios arquitectónicos, con énfasis en amenazas específicas de sistemas de IA
* Security Training: Desarrollar y entregar training a equipos de desarrollo sobre secure coding practices, OWASP Top 10, y AI‑specific security considerations
* Security Champions Program: Establecer y liderar un programa de security champions dentro de los equipos de desarrollo para distribuir expertise de seguridad
Identity, Access & Authentication
Gestión de Identidad y Acceso
* Zero Trust Architecture: Diseñar e implementar arquitectura Zero Trust, incluyendo micro‑segmentation, least privilege access, y continuous verification
* Identity and Access Management (IAM): Implementar sistemas robustos de IAM, incluyendo RBAC, ABAC, y dynamic access controls basados en contexto y riesgo
* Authentication Systems: Diseñar y mantener sistemas de autenticación multi‑factor, passwordless authentication, y adaptive authentication basada en risk scoring
* API Authentication & Authorization: Implementar mecanismos seguros de autenticación y autorización para APIs, incluyendo OAuth 2.0, JWT validation, API key rotation, y service‑to‑service authentication
Session Management y Token Security
* Session Security: Implementar controles robustos de gestión de sesiones, incluyendo secure session storage, timeout policies, y concurrent session management
* Token Lifecycle Management: Diseñar sistemas seguros de token generation, validation, refresh, y revocation, con especial atención a tokens de larga duración en contextos de IA
* Secrets Management: Implementar y mantener soluciones de secrets management (HashiCorp Vault, AWS Secrets Manager), incluyendo rotation policies y audit logging
Compliance, Governance & Risk
Frameworks de Cumplimiento
* SOC 2 Compliance: Liderar esfuerzos de certificación SOC 2 Type II, incluyendo diseño de controles, evidencia de testing, y remediación de findings
* GDPR/Privacy Regulations: Asegurar cumplimiento con GDPR, CCPA, y otras regulaciones de privacidad, con atención especial a AI‑specific requirements y right to explanation
* Industry Standards: Implementar y mantener cumplimiento con ISO 27001, NIST Cybersecurity Framework, CIS Controls, y AI‑specific frameworks (NIST AI RMF, EU AI Act considerations)
Risk Management y Audit
* Security Risk Assessment: Conducir evaluaciones regulares de riesgo de seguridad, identificando, cuantificando, y priorizando riesgos de seguridad y privacidad
* Security Metrics & KPIs: Definir, trackear, y reportar métricas clave de seguridad a liderazgo, incluyendo vulnerability metrics, incident metrics, y compliance posture
* Audit Trail Management: Diseñar e implementar logging comprensivo y audit trails para todos los sistemas críticos, especialmente interacciones con modelos de IA
* Third‑Party Risk Management: Evaluar y monitorear riesgos de seguridad de vendors y third‑party services, incluyendo security questionnaires y ongoing monitoring
Incident Response & Security Operations
Detección y Respuesta a Incidentes
* Security Incident Response: Desarrollar, mantener, y ejecutar planes de respuesta a incidentes de seguridad, incluyendo playbooks para AI‑specific incidents (model poisoning, prompt injection campaigns, data exfiltration)
* Security Monitoring & SIEM: Implementar y mantener sistemas de monitoreo de seguridad (SIEM), incluyendo log aggregation, correlation rules, y automated alerting
* Threat Intelligence: Mantenerse actualizado con las últimas amenazas de seguridad, especialmente emerging threats en el espacio de IA/ML, y aplicar threat intelligence a defensive measures
* Forensics Capability: Desarrollar capacidades forenses para investigación post‑incident, incluyendo evidence collection, timeline reconstruction, y root cause analysis
Security Automation & Orchestration
* SOAR Implementation: Implementar Security Orchestration, Automation and Response (SOAR) para automatizar respuesta a incidentes comunes y reducir MTTR
* Automated Remediation: Desarrollar automated response actions para tipos específicos de incidentes, incluyendo isolation, blocking, y notification workflows
* Security Analytics: Implementar advanced analytics sobre security data para identificar patterns, anomalies, y indicators of compromise (IOCs)
Network & Infrastructure Security
Seguridad de Red
* Network Segmentation: Diseñar e implementar segmentación de red efectiva, incluyendo DMZs, VLANs, y micro‑segmentation para workloads críticos
* Firewall Management: Configurar y mantener firewalls (traditional y next‑gen), incluyendo rule optimization, change management, y security policy enforcement
* DDoS Protection: Implementar defensas contra ataques DDoS, incluyendo rate limiting, traffic analysis, y integration con CDN/WAF providers
* VPN & Remote Access: Diseñar e implementar soluciones seguras de remote access, incluyendo VPNs, Zero Trust Network Access (ZTNA), y secure access service edge (SASE)
Cloud Security
* Cloud Security Posture Management (CSPM): Implementar CSPM tools para continuous monitoring de cloud configurations y detección de misconfigurations
* Cloud‑Native Security: Aplicar best practices específicas para cloud (AWS/Azure), incluyendo IAM policies, security groups, network ACLs, y encryption
* Container Security: Implementar controles de seguridad para containerized workloads, incluyendo image scanning, runtime protection, y network policies
Data Protection & Encryption
Estrategias de Cifrado
* Encryption at Rest: Implementar encryption comprehensivo para datos en reposo, incluyendo databases, file storage, backups, y vector databases
* Encryption in Transit: Asegurar todo el tráfico de red mediante TLS/SSL, incluyendo internal service‑to‑service communication
* Key Management: Diseñar e implementar robust key management systems, incluyendo key generation, rotation, escrow, y destruction policies
* Data Classification: Establecer y enforcement de políticas de clasificación de datos, con controles de seguridad apropiados para cada nivel
Data Loss Prevention (DLP)
* DLP Strategy: Implementar soluciones DLP para prevenir exfiltración de datos sensibles, con reglas especializadas para AI outputs y training data
* Monitoring & Detection: Configurar monitoreo para detectar intentos de exfiltración de datos, unusual data access patterns, y potential insider threats
Requisitos Indispensables
Experiencia y Conocimiento Técnico
* Experiencia en Ciberseguridad: Mínimo 5 años de experiencia en roles de cibersecurity, con al menos 2 años enfocados en application security o cloud security
* AI/ML Security Knowledge: Experiencia demostrable trabajando con seguridad de sistemas de IA/ML, familiaridad con OWASP Top 10 for LLMs, y conocimiento de AI‑specific attack vectors
* Security Engineering: Profundo conocimiento de security architecture, secure design principles, defense in depth, y zero‑trust architectures
* Penetration Testing: Experiencia práctica realizando pentests de web applications, APIs, y preferentemente AI systems, con capacidad de thinking like an attacker
Conocimientos Técnicos Específicos
* Application Security: Dominio de OWASP Top 10, secure coding practices, authentication/authorization mechanisms, y common vulnerabilities (SQLi, XSS, CSRF, etc.)
* API Security: Expertise en securing REST APIs, GraphQL, WebSockets, incluyendo authentication, rate limiting, input validation, y abuse prevention
* Cloud Security: Conocimiento profundo de security en al menos un cloud provider principal (AWS/Azure), incluyendo identity management, network security, y encryption
* Security Tools: Experiencia en security scanning tools (BurpSuite, OWASP ZAP, Nessus, Qualys), SIEM platforms (Splunk, ELK), y security automation tools
Certificaciones y Frameworks
* Security Certifications: Al menos una certificación relevante de seguridad (CISSP, CEH, OSCP, Security+, GIAC, o similar) - preferred but not required
* Cloud Certifications: Certificación de seguridad en cloud (AWS Security Specialty, Azure Security Engineer, o similar) - deseable
* Compliance Knowledge: Familiaridad con frameworks como SOC 2, ISO 27001, NIST CSF, y regulaciones como GDPR/CCPA
Habilidades Profesionales
* Problem Solving: Habilidades excepcionales de troubleshooting, análisis de root cause, y pensamiento crítico aplicado a problemas complejos de seguridad
* Communication: Excelentes habilidades de comunicación escrita y verbal para documentación técnica, incident reports, y presentaciones a diferentes audiencias (técnicas y no‑técnicas)
* Collaboration: Capacidad demostrada de trabajar efectivamente con equipos de desarrollo, operaciones, y liderazgo, siendo un enableador en lugar de blocker
* Adaptability: Capacidad de trabajar en ambiente dinámico de startup, adaptarse a prioridades cambiantes, y balancear security con velocity de desarrollo
Idiomas
* Español e Inglés: Dominio avanzado en ambos idiomas para comunicación técnica, documentación, incident response, y coordinación con stakeholders internacionales
Requisitos Deseables
Experiencia Especializada
* LLM Security Expertise: Experiencia profunda en seguridad de sistemas LLM, incluyendo red‑teaming de modelos, prompt injection testing, y AI governance
* Security Research: Experiencia en security research, bug bounty programs, CVE disclosures, o publicaciones en conferencias/journals de seguridad
* DevSecOps: Experiencia implementando security en pipelines CI/CD, infrastructure as code security, y shift‑left security practices
* Incident Response Leadership: Experiencia liderando major incident responses, coordinando cross‑functional teams, y post‑mortem analysis
Conocimientos Técnicos Avanzados
* Machine Learning Fundamentals: Comprensión técnica de cómo funcionan modelos de ML/LLMs, training processes, embeddings, yi inference, para mejor identificar vulnerabilidades
* Cryptography: Conocimiento profundo de principios criptográficos, common pitfalls, y best practices para implementación
* Threat Modeling: Experiencia avanzada con metodologías formales de threat modeling (STRIDE, PASTA, OCTAVE) aplicadas a sistemas complejos
* Security Architecture: Capacidad de diseñar security architectures completas desde cero, incluyendo defense in depth layers y resilient design patterns
Herramientas y Tecnologías
* Security Automation: Experiencia con scripting (Python, Bash, PowerShell) para automatización de security testing y response workflows
* Container Security: Experiencia con container security tools (Aqua, Twistlock, Snyk), Kubernetes security, y service‑mesh security
* AI Security Tools: Familiaridad con emerging AI security tools (adversarial testing frameworks, LLM safety checkers, prompt injection detectors)
Beneficios
💻 Trabajo 100% remoto con horario alineado a CST.
🏖️ PTO ilimitado: Confiamos en que gestionarás tu tiempo de manera efectiva.
🎓 Presupuesto anual para desarrollo: Acceso a cursos, certificaciones y conferencias de tecnología.
🛠️ Presupuesto para equipamiento: Configura tu espacio de trabajo remoto ideal.
💰 Bonos semestrales por desempeño: Reconocemos y recompensamos tu impacto con incentivos económicos.
🩺 Beneficio de salud: Acceso a cobertura médica privada o subsidios para seguro médico.
🚀 Oportunidades de crecimiento: Plan de carrera y mentoría con expertos en IA y tecnología.
🚀 Ambiente de startup dinámico y flexible: Autonomía para tomar decisiones y proponer ideas, con un enfoque en resultados en lugar de horas trabajadas.
⚖️ Balance vida-trabajo: Cultura que prioriza la flexibilidad y el bienestar, permitiéndote gestionar tu tiempo sin sacrificar tu vida personal.
¡Te invitamos a postularte!
Incluso si no cumples con todos los requisitos, valoramos experiencias y perspectivas diversas. Si te apasiona construir infraestructura robusta y segura para productos de IA y quieres ser el guardian de la confiabilidad en una empresa de vanguardia, ¡nos encantaría conocerte!
#J-18808-Ljbffr