Auditor de seguridad de TI y controlador de violación de datos en el Supervisor Europeo de Protección de Datos

El Supervisor Europeo de Protección de Datos (SEPD), una joven institución de la UE creada en 2004 en Bruselas (Bélgica), es la autoridad independiente de protección de datos de las instituciones de la UE y el asesor del legislador de la UE en materia de protección de datos. Nos esforzamos por ser un centro imparcial de excelencia para arraigar una sólida cultura de protección de datos en las instituciones de la UE y en la legislación que emana de ellas. También seguimos de cerca los avances tecnológicos e intentamos anticiparnos a su impacto en la privacidad de las personas. Nuestra organización cuenta con unos 120 empleados, la mayoría de los cuales son funcionarios de la UE, pero también acogemos a agentes contractuales y expertos nacionales en comisión de servicios, que trabajan a tiempo completo o parcial.

Nuestra vacante se encuentra en el Sector de Supervisión de Sistemas y Auditorías Tecnológicas de la Unidad de Tecnología y Privacidad. La Unidad proporciona conocimientos especializados en la intersección de la política y la tecnología de la información generando conocimientos profundos sobre el impacto de la tecnología en la privacidad y la protección de datos, incluida la previsión de tendencias futuras. La Unidad de Tecnología y Privacidad del SEPD se encarga de supervisar las novedades pertinentes, en la medida en que repercutan en la protección de los datos personales, en particular el desarrollo de las tecnologías de la información y la comunicación. La unidad también actúa como asesor tecnológico y colaborador de otras unidades y sectores del SEPD.

Además, la unidad dirige las auditorías técnicas de los sistemas informáticos que realizan operaciones de tratamiento de datos y, en particular, los sistemas informáticos a gran escala de las instituciones de la UE, como SIS II, Eurodac, VIS, etc. Estas auditorías siguen los requisitos de instrumentos jurídicos específicos y normas y controles internacionales. La unidad se ocupa de la notificación de las violaciones de datos personales de las demás instituciones, órganos y organismos de la Unión (EUI).

Como auditor de seguridad informática y responsable de la gestión de las violaciones de datos, sus principales responsabilidades incluirán:

– Preparar/participar en auditorías de los sistemas informáticos más relevantes (desde el punto de vista de la protección de datos) gestionados por las instituciones de la UE;
– Documentar, evaluar y probar los sistemas y controles informáticos para determinar su adecuación y eficacia a fin de garantizar el cumplimiento de la legislación en materia de protección de datos y seguridad y de las normas internacionales. Esto incluirá la verificación práctica de las medidas de seguridad aplicadas, entre otros, a nivel de red, de base de datos y de aplicación, incluida la detección de posibles vulnerabilidades mediante herramientas específicas;
– Diseñar y mantener procesos y procedimientos de auditoría;
– Redactar informes técnicos que analicen/interpreten los resultados de las auditorías e informes para las partes interesadas que utilicen un lenguaje accesible para explicar el proceso y las recomendaciones;
– Organizar y ejecutar investigaciones técnicas ad hoc, en particular relacionadas con los sistemas informáticos del Espacio de Seguridad, Libertad y Justicia (ELSJ);
– Utilizar y desarrollar el laboratorio informático de la Unidad con la selección y adquisición de herramientas que apoyen las actividades de auditoría y otras actividades de seguridad del SEPD, como las actividades de investigación;
– Contribuir a la redacción de directrices relacionadas con las violaciones de datos personales;
– Intervenir y, en su caso, dirigir investigaciones o auditorías a raíz de una o varias notificaciones de violación de datos de las instituciones de la UE para evaluar si existe un problema estructural de seguridad y proporcionarles las recomendaciones necesarias;
– Gestionar el ciclo completo de notificación de violaciones de datos para verificar la conformidad de las acciones del responsable del tratamiento con los requisitos del Reglamento;
– Impartir sesiones de formación sobre gestión de violaciones de datos personales;
– Preparar informes que incluyan estadísticas sobre violaciones de datos personales;
– Actuar cuando sea necesario como analista empresarial y gestor de proyectos para el sistema y el proceso de notificación de violaciones de datos dentro del SEPD.

Criterios de admisibilidad

Para que su candidatura sea tomada en consideración, deberá cumplir los siguientes criterios en la fecha límite de presentación de candidaturas1:
– un nivel de estudios correspondiente a un ciclo completo de estudios universitarios de tres años como mínimo, acreditado por un título, en el ámbito de las tecnologías de la información o en otro ámbito pertinente para este puesto, o, cuando esté justificado en interés del servicio, una formación profesional de nivel equivalente.
– Poseer una habilitación de seguridad o estar dispuesto a obtenerla;
– Los candidatos a este puesto de Agente contractual deberán haber superado el CAST permanente de la EPSO al final del proceso de contratación, por lo que se les anima a que creen un perfil EPSO correspondiente ya con su candidatura;

Criterios de selección

Para este puesto vacante, buscamos a alguien con las siguientes competencias y experiencia esenciales y ventajosas:

Imprescindible

– Experiencia profesional adecuada como auditor de seguridad de la información y/o responsable de la gestión de la violación de datos de al menos 2 años;
– Conocimientos y experiencia en normas y marcos de auditoría de seguridad como ISO/2700X, NIST, COBIT;
– Muy buena capacidad de multitarea y de completar varios proyectos simultáneos con un plazo de entrega, así como ser capaz de demostrar flexibilidad y disposición para trabajar en tareas de diversa índole;
– Amplia capacidad de análisis, buenas dotes de comunicación y redacción estructurada;
– Experiencia en el trabajo y la gestión de casos/contratos o tareas similares en las que sea esencial tener el control del flujo de trabajo completo de las actividades necesarias para gestionar un caso;
– Capacidad para trabajar de forma autónoma, pero también un fuerte sentido del trabajo en equipo;
– Buenos conocimientos informáticos con sólidos conocimientos del paquete MS Office (en particular Word, Excel), así como conocimientos forenses;
– Muy buen nivel de inglés hablado y escrito, que es la principal lengua de trabajo del SEPD y de la SEPD. Se valorará positivamente
– Experiencia práctica en pruebas de caja blanca y caja negra de sistemas informáticos con utilización de técnicas de auditoría asistida por ordenador;
– Se valorará la certificación CISA o, alternativamente, CISSP u otras certificaciones técnicas o de seguridad informática;
– Buen conocimiento de la legislación aplicable en lo que respecta a las notificaciones de violación de datos, en particular el Reglamento (UE) 2016/679, el Reglamento (UE) 2018/1725 y la Directiva 216/680;
– Experiencia previa en la gestión de violaciones de datos personales;
– Experiencia en el uso de herramientas de análisis y visualización de datos como Power BI, Python, etc;
– Buen conocimiento de la estructura y funcionamiento de la Unión Europea y sus Instituciones, en relación con el puesto.