Junior
Revisa alertas de las herramientas, verifica hallazgos y ayuda a los desarrolladores a corregirlos.
Application Security / Product Security Engineer para tu equipo
Un ingeniero que hace que tu producto nazca seguro: modelado de amenazas, revisión de código, SAST y DAST, y un ciclo de desarrollo seguro que los programadores sí aplican.
Tecnologías y competencias habituales
- SAST / DAST
- OWASP
- Threat Modeling
- Secure SDLC
- Burp Suite
- Semgrep
También lo buscarás como application security engineer, AppSec engineer, product security engineer y especialista en desarrollo seguro.
Qué hace un ingeniero de seguridad de aplicaciones
Trabaja con los equipos de producto para reducir vulnerabilidades en el software. Realiza modelado de amenazas en la fase de diseño, revisa código crítico, configura análisis estático con Semgrep y dinámico con herramientas como Burp Suite, enseña a los desarrolladores a evitar los fallos de OWASP Top 10, gestiona los hallazgos hasta cerrarlos y define el ciclo de desarrollo seguro.
Cuándo necesitas uno
- Lanzas versiones cada pocas semanas y los fallos de seguridad aparecen cuando ya están en producción.
- Tu producto maneja datos sensibles o pagos y necesitas un diseño seguro que resista una auditoría de un cliente.
- Los pentests anuales repiten los mismos hallazgos y el equipo no sabe cómo evitarlos.
Qué distingue a un buen ingeniero de seguridad de aplicaciones
- Hace modelado de amenazas ágil, con técnicas como STRIDE, que cambia el diseño antes de escribir código.
- Domina las vulnerabilidades web y de API de OWASP, incluidos el control de acceso y los fallos de lógica.
- Sabe leer código y revisar los cambios sensibles en autenticación, criptografía y gestión de sesiones.
- Integra herramientas con criterio: reglas ajustadas a tu código, pocas alertas y accionables.
- Educa sin imponer: crea guías, ejemplos y un grupo de campeones de seguridad en los equipos.
Junior, middle o senior
Middle
Lleva la seguridad de uno o varios productos: modelado de amenazas, revisiones de código y gestión de vulnerabilidades.
Senior
Define el programa de seguridad de producto, el ciclo de desarrollo seguro y los estándares para toda la ingeniería.
Dos formas de trabajar
On Demand
Se suma a tu equipo el tiempo que lo necesites.
Try & Hire
Trabaja contigo y, tras un tiempo, puedes incorporarlo a tu plantilla sin costes.
¿Necesitas un equipo entero? Mira los Agile Squads.
Preguntas frecuentes
¿Qué diferencia hay con un DevSecOps?
El de DevSecOps se centra en automatizar controles en el pipeline y la infraestructura. El de seguridad de aplicaciones se centra en el diseño y el código del producto. Trabajan juntos y en equipos pequeños pueden ser la misma persona.
¿Cuándo introducir la seguridad en el desarrollo?
Cuanto antes. Corregir un fallo de diseño en la fase de requisitos es mucho más barato que en producción. El modelado de amenazas y las revisiones tempranas son las medidas con mejor retorno.
¿Qué exige el Reglamento de Ciberresiliencia?
Obliga a los fabricantes de productos con elementos digitales vendidos en la UE a diseñarlos con seguridad, gestionar vulnerabilidades y entregar actualizaciones durante el ciclo de vida del producto. Sus obligaciones principales se aplican de forma escalonada hasta finales de 2027.
¿Puedo incorporarlo después a mi plantilla?
Sí. Con la modalidad Try & Hire trabaja contigo y, tras un tiempo, puedes incorporarlo a tu plantilla sin costes.
¿Cómo se factura?
Pagas por el trabajo realmente efectivo: solo las horas trabajadas. La selección, las bajas, las vacaciones y las sustituciones corren de nuestra cuenta.
¿Trabaja en remoto o en nuestras oficinas?
Como lo necesite tu equipo: en remoto, en híbrido o presencial, en España.
Cómo llega un perfil a tu equipo
Vendemos calidad: preferimos presentarte a una persona que encaja antes que a cinco que no.
De cada 20 candidatos que evaluamos, te presentamos a uno.
Nos cuentas qué necesitas
El perfil, el nivel, las tecnologías y cómo trabaja tu equipo.
Validamos a la persona
Nuestro equipo técnico revisa su conocimiento real, también cómo trabaja con IA. De cada 20 candidatos, pasa uno.
Te la presentamos
Conoces a la persona antes de decidir. El 93 % de nuestros clientes contrata a la primera que le presentamos.
Empieza en tu equipo
Pagas solo las horas trabajadas. De la selección, las bajas, las vacaciones y las sustituciones nos ocupamos nosotros.
Suele trabajar con
Ver los 16 perfiles de ciberseguridad y protección de datosDevSecOps Engineer
- SAST
- DAST
- Checkmarx
- Fortify
Auditor de Ciberseguridad / Pentester
- Kali Linux
- Metasploit
- Burp Suite
- Nmap
Arquitecto de Software
- Patrones de diseño
- DDD
- Clean Architecture
- SOLID
Threat Intelligence / Detection Engineer
- SIEM (Splunk, Sentinel)
- MITRE ATT&CK
- Sigma
- EDR
Consultor NIS2 / DORA / ENS
- NIS2
- DORA
- ENS
- ISO 27001
Responsable de Gobierno de IA (Reglamento Europeo de IA)
- Reglamento Europeo de IA (AI Act)
- ISO/IEC 42001
- Inventario y clasificación de riesgo de sistemas de IA
- Evaluaciones de impacto
Ingeniero de Ciberseguridad
- Firewalls (Palo Alto, Fortinet, CheckPoint)
- WAF
- Endpoint Security
Analista de Ciberseguridad (SOC)
- SIEM (Splunk, QRadar, Microsoft Sentinel)
- Monitorización