IT Lead Security & Compliance

💼IT Lead Security & Compliance

Ubicación📍 Santiago, Chile | Modalidad: Hibrida

1. Propósito del puesto

Liderar la gestión regional de Seguridad de la Información y Cumplimiento de TI para Ricoh LATAM, protegiendo los activos tecnológicos y de información, reduciendo riesgos operativos y regulatorios, asegurando el cumplimiento de políticas corporativas y requerimientos aplicables, y promoviendo la mejora continua de los controles que soportan la operación y la transformación digital del negocio.

El rol será responsable de fortalecer un modelo regional de gobierno de seguridad que permita gestionar riesgos de manera consistente entre las distintas operaciones de LATAM y mantener alineación con los estándares globales de Ricoh.

2. Alcance del rol

Actuar como punto focal regional para la gobernanza, gestión de riesgos, cumplimiento y protección de datos dentro del ámbito de TI, trabajando de manera transversal con las diferentes OpCos de Ricoh LATAM y con los equipos globales y de Norteamérica.

Su alcance comprende:

• Plataformas on-premise.
• Servicios cloud.
• Soluciones SaaS.
• Redes y comunicaciones.
• Servidores y estaciones de trabajo.
• Dispositivos móviles.
• Servicios de conectividad.
• Identidades y accesos.
• Procesos de negocio soportados por TI.

El puesto requiere una combinación equilibrada de conocimiento técnico, gestión de riesgos, gobierno, capacidad de influencia y comunicación ejecutiva.

3. Responsabilidades principales

3.1. Gobernanza de Seguridad y Cumplimiento

• Definir, mantener y mejorar el modelo regional de gobernanza de Seguridad de la Información y Cumplimiento de TI.
• Desarrollar, actualizar y divulgar políticas, estándares, procedimientos y lineamientos de seguridad.
• Asegurar la alineación regional con los estándares globales de Seguridad de la Información de Ricoh.
• Coordinar revisiones ejecutivas y reportes periódicos sobre seguridad, riesgos y cumplimiento.
• Definir y mantener métricas e indicadores que permitan evaluar la efectividad de los controles.
• Mantener actualizada la documentación oficial del área y los mecanismos de escalamiento.
• Impulsar una gestión consistente de seguridad entre las diferentes operaciones de LATAM.

3.2. Gestión de riesgos

• Implementar y operar el proceso regional de gestión de riesgos de seguridad.
• Identificar, evaluar, priorizar y dar seguimiento a riesgos tecnológicos y de información.
• Promover y mantener el inventario y clasificación de activos críticos.
• Coordinar evaluaciones de vulnerabilidades y planes de remediación.
• Gestionar riesgos residuales, excepciones y procesos formales de aceptación de riesgos.
• Monitorear el avance y cumplimiento de los planes de mitigación.
• Presentar reportes de riesgos y recomendaciones a la Gerencia Regional de TI y stakeholders relevantes.

3.3. Cumplimiento y auditorías

• Participar en auditorías internas y externas relacionadas con TI y Seguridad de la Información.
• Gestionar los planes de acción derivados de auditorías, evaluaciones de controles y revisiones.
• Co-supervisar el cumplimiento de políticas corporativas y requisitos aplicables.
• Mantener evidencias, documentación y trazabilidad para auditorías y certificaciones.
• Apoyar las iniciativas relacionadas con ISO/IEC 27001 y otros marcos de control adoptados por Ricoh.
• Dar seguimiento a requerimientos contractuales relacionados con seguridad de la información.
• Coordinar con las áreas responsables la remediación oportuna de hallazgos.

3.4. Privacidad y protección de datos

• Coordinar iniciativas relacionadas con la protección de datos personales dentro del ámbito de TI.
• Promover la clasificación, almacenamiento, acceso y manejo adecuado de la información.
• Participar en evaluaciones de impacto de privacidad cuando corresponda.
• Trabajar transversalmente con Legal, Compliance, Recursos Humanos, TI y las diferentes OpCos.
• Impulsar prácticas y controles orientados a proteger información de clientes, colaboradores, proveedores y socios comerciales.

3.5. Operación, incidentes y resiliencia

• Participar en la gestión, coordinación y escalamiento de incidentes de seguridad generados tanto por Ricoh Norteamérica como por Ricoh LATAM.
• Coordinar investigaciones y análisis de eventos de ciberseguridad.
• Co-supervisar controles relacionados con identidades, accesos y privilegios.
• Dar seguimiento a procesos de respaldo, recuperación y continuidad tecnológica.
• Impulsar prácticas y controles asociados con MFA, mínimo privilegio, Zero Trust, protección de endpoints y cloud security.
• Coordinar la ejecución anual de pruebas de penetración aplicables a la infraestructura de la organización.
• Dar seguimiento a vulnerabilidades identificadas y sus correspondientes planes de remediación.
• Coordinar acciones con las áreas de infraestructura, networking, cloud, soporte, aplicaciones, administración de accesos y ciberseguridad de Ricoh Norteamérica.

3.6. Terceros y proveedores

• Participar en evaluaciones de seguridad de proveedores tecnológicos.
• Revisar requisitos de seguridad aplicables a contratos y servicios de TI.
• Co-supervisar los controles de acceso otorgados a proveedores y terceros.
• Identificar y dar seguimiento a riesgos asociados con la cadena de suministro tecnológica.
• Coordinar acciones correctivas cuando se identifiquen desviaciones o riesgos relevantes asociados con terceros.

3.7. Cultura y concientización

• Desarrollar y coordinar programas regionales de capacitación y concientización en Seguridad de la Información.
• Promover buenas prácticas de seguridad entre colaboradores y contratistas.
• Participar en campañas relacionadas con phishing, protección de datos, uso aceptable de recursos tecnológicos y cumplimiento.
• Representar a Ricoh LATAM en los comités globales de seguridad de Ricoh.
• Definir indicadores para medir la cobertura y efectividad de las iniciativas de capacitación y concientización.

4. Autoridad y facultades del puesto

El puesto tendrá facultad para:

• Proponer controles, políticas y estándares de seguridad dentro del ámbito de TI.
• Solicitar planes de remediación y evidencias de cumplimiento.
• Escalar riesgos críticos y desviaciones relevantes.
• Recomendar la suspensión, restricción o revisión de accesos que puedan representar un riesgo para la organización.
• Participar en la evaluación y aprobación de excepciones de seguridad.
• Convocar a responsables técnicos y de negocio para revisar riesgos, incidentes, hallazgos y planes correctivos.
• Recomendar acciones orientadas a disminuir la exposición al riesgo tecnológico y de información.

5. Perfil requerido

5.1. Formación académica

• Formación universitaria en Ingeniería en Sistemas, Informática, Ciberseguridad, Telecomunicaciones o carrera afín.
• Deseable especialización, diplomado o posgrado en Seguridad de la Información, Ciberseguridad, Gestión de Riesgos, Gobierno de TI o áreas relacionadas.

5.2. Experiencia

• Idealmente 8 a 12 años de experiencia profesional, con al menos 5 a 7 años en funciones relacionadas con Seguridad de la Información, Ciberseguridad, Riesgos Tecnológicos, GRC o Cumplimiento de TI.
• Experiencia trabajando en organizaciones multinacionales, regionales o estructuras matriciales.
• Experiencia participando o liderando auditorías, evaluaciones de controles y planes de remediación.
• Experiencia en identificación, evaluación, mitigación y seguimiento de riesgos tecnológicos.
• Conocimiento práctico de Microsoft 365, Microsoft Azure y ambientes híbridos.
• Experiencia o exposición relevante a gestión de incidentes, IAM, accesos y privilegios, vulnerabilidades, continuidad y recuperación.
• Experiencia trabajando transversalmente con equipos como Infraestructura, Cloud, Networking, Aplicaciones, Legal, Compliance y Recursos Humanos.
• Se valorará especialmente experiencia coordinando iniciativas o stakeholders de diferentes países de LATAM.

5.3. Idiomas

• Inglés avanzado, requerido para interacción con equipos regionales, Norteamérica y estructuras globales.
• Español fluido.

5.4. Certificaciones deseables

Se valorarán certificaciones como:

• CISSP - Certified Information Systems Security Professional.
• CISM - Certified Information Security Manager.
• CRISC - Certified in Risk and Information Systems Control.
• ISO/IEC 27001 Lead Implementer o Lead Auditor.
• Microsoft Security: SC-200, SC-300 o AZ-500.
• CompTIA Security+ o certificaciones equivalentes.

Las certificaciones serán consideradas un diferenciador y no necesariamente un requisito excluyente, siempre que el candidato demuestre experiencia equivalente.

6. Conocimientos técnicos

El puesto requiere conocimientos sólidos o prácticos en:

• Gobierno de Seguridad de la Información.
• Gestión de riesgos y controles.
• GRC.
• ISO/IEC 27001.
• Marcos de referencia como NIST y/o CIS Controls.
• Auditoría y cumplimiento de TI.
• Gestión de vulnerabilidades.
• Gestión de incidentes de seguridad.
• IAM y administración de privilegios.
• MFA y mínimo privilegio.
• Zero Trust.
• Seguridad de Microsoft 365 y Azure.
• Seguridad cloud y ambientes híbridos.
• Endpoint security.
• Continuidad tecnológica, backup y recuperación.
• Privacidad y protección de datos.
• Evaluación de riesgos de proveedores.
• Pruebas de penetración y seguimiento de remediaciones.

7. Competencias clave

Competencias técnicas

• Gobierno y gestión de Seguridad de la Información.
• Gestión de riesgos y controles.
• Auditoría y cumplimiento.
• Privacidad y protección de datos.
• IAM, Cloud Security y continuidad.
• Gestión de incidentes y vulnerabilidades.
• Evaluación y seguimiento de riesgos tecnológicos.

Competencias de gestión

• Liderazgo e influencia transversal.
• Comunicación ejecutiva.
• Pensamiento analítico y criterio de riesgo.
• Gestión de proyectos y prioridades.
• Negociación y coordinación regional.
• Capacidad para desenvolverse en estructuras matriciales.
• Orientación a resultados.
• Mejora continua.
• Capacidad para traducir riesgos tecnológicos en impactos y decisiones de negocio.

8. Objetivo estratégico del rol

Consolidar una función regional de Seguridad de la Información y Cumplimiento de TI que permita a Ricoh LATAM proteger sus activos de información, reducir riesgos tecnológicos, operativos y regulatorios, fortalecer la confianza de clientes y socios comerciales y habilitar la estrategia corporativa mediante un modelo consistente de gobernanza, gestión de riesgos y mejora continua, alineado con los estándares globales de Ricoh.