Objetivo y responsabilidades generales.

Liderar la función de Application Security Testing (AST), asegurando la calidad y efectividad de las capacidades de SAST y DAST, así como la adecuada identificación, validación y priorización de vulnerabilidades de aplicaciones.

La posición interactuará con los equipos responsables del Secure Software Development Life Cycle (SSDLC), Desarrollo, Arquitectura y DevSecOps, validando el cumplimiento y efectividad de los controles técnicos de seguridad establecidos durante el ciclo de desarrollo.

- Liderar la función y operación de AST, incluyendo capacidades SAST y DAST.
- Asegurar la calidad, validación y priorización de los resultados de pruebas de seguri
- dad.
- Coordinar con Desarrollo y equipos tecnológicos la atención y análisis de vulnerabilidades.
- Validar el cumplimiento y efectividad de los controles técnicos de seguridad establecidos en el SSDLC, identificando desviaciones y oportunidades de mejora.
- Identificar tendencias, vulnerabilidades recurrentes, causas raíz y problemas sistémicos.
- Gestionar prioridades, capacidad, objetivos y desarrollo del equipo de AST.
- Establecer métricas y seguimiento sobre cobertura, demanda, backlog, aging, SLA y efectividad de los controles.
- Comunicar riesgos, desviaciones y prioridades a stakeholders técnicos y gerenciales.

Conocimiento sólido y experiencia en:

- SAST, DAST y Application Security Testing.
- Validación, clasificación y priorización de vulnerabilidades y falsos positivos.
- Seguridad de aplicaciones Web y APIs.
- SSDLC, DevSecOps y CI/CD, incluyendo security gates y automatización de controles.
- Secure Coding y gestión de vulnerabilidades.
- Arquitecturas modernas: APIs, microservicios y cloud.




- Herramientas de SAST/DAST y testing como Burp Suite, OWASP ZAP o equivalentes.
- OWASP Top 10, OWASP API Security Top 10, OWASP ASVS, CWE, CVSS y NIST SSDF.Procesos y principios de Vulnerability Management.
- Conocimientos sobre el uso de LLMs e Inteligencia Artificial, incluyendo su aplicación en análisis de vulnerabilidades, automatización y actividades de Application Security.

Deseable: SCA, Secrets Detection, IaC Security y Container Security.
- Skills de gestión, análisis y comunicación
- Análisis integral / Systems Thinking - Prioridad alta
- Capacidad para conectar los puntos entre vulnerabilidades, arquitectura, exposición, datos,
- controles e impacto; identificar patrones, causas raíz y problemas sistémicos.
- Liderazgo y gestión - Prioridad alta
- Capacidad para liderar y desarrollar equipos técnicos, establecer prioridades, gestionar capacidad y demanda, proporcionar coaching y promover accountability.
- Comunicación e influencia - Prioridad alta
- Capacidad para traducir problemas técnicos en riesgos y
- acciones claras, coordinar stakeholders y negociar prioridades sin autoridad directa.
- Orientación a resultados
- Uso de métricas, KPIs y KRIs para evaluar la calidad y efectividad de AST, identificar oportunidades de mejora y apoyar decisiones.

Requerimientos generales

Experiencia: Mínimo 5 años en Application Security, Ciberseguridad, Vulnerability Management, DevSecOps, Secure

Software Development o áreas afines.

Experiencia coordinando o liderando actividades y/o equipos técnicos.

Formación competente en Sistemas, Computación, TI, Ciberseguridad, Ingeniería o carrera afín.

Inglés: Intermedio.

Ubicación: CDMX o Querétaro.

Modalidad: Híbrida, con asistencia a sitio.

📌 APPLICATION SECURITY TESTING (Santiago de Querétaro)
🏢 Santander Digital Services
📍 Santiago de Querétaro