Seguridad de la Información – Ingeniero Sénior de Detección de Amenazas y Respuesta

• Más de 6 años de experiencia práctica en ingeniería de detección, analista senior de SOC o respuesta ante incidentes.
• Sólidas habilidades prácticas en SIEM: Microsoft Sentinel, Splunk, Elastic (ELK) u OpenSearch, incluyendo sus lenguajes de consulta (KQL, SPL, ES|QL/Lucene).
• Experiencia práctica en EDR: Microsoft Defender, SentinelOne o CrowdStrike, incluyendo sus interfaces de consulta de hunting y reglas de detección personalizadas.
• Sigma, incluyendo la conversión y prueba de reglas frente a cada backend.
• Seguridad multicloud en AWS, GCP y Azure: telemetría de auditoría y seguridad (CloudTrail/GuardDuty, Cloud Audit Logs/Security Command Center, Azure Activity + logs de Entra ID/Defender for Cloud), rutas de ataque de IAM e identidad, y casos de uso de detección específicos de la nube.
• Trayectoria demostrada encontrando y cerrando brechas de detección o visibilidad, con ejemplos de tu metodología.
• Uso práctico de MITRE ATT&CK para la evaluación de la cobertura, no solo para el etiquetado.
• Experiencia en emulación de adversarios / simulación de brechas y ataques (breach-and-attack-simulation).
• Dominio de Python o PowerShell; comodidad con Git y CI para detección como código.
• Uso diario efectivo de asistentes de LLM y herramientas de codificación agénticas (por ejemplo, Claude Code, OpenCode) para detección como código, automatización y análisis, con validación crítica de los resultados y dentro de los límites de manejo de datos aprobados.
• Comunicación clara bajo la presión de un incidente.

• Experiencia en aviación, logística u otros sectores regulados; NIS2 / EASA Part-IS.
• Experiencia en plataformas SOAR.
• Reglas de detección de Elastic Security y OpenSearch Security Analytics (Sigma-native).
• Telemetría de contenedores/Kubernetes (EKS, GKE, AKS) y herramientas CSPM/CNAPP.
• Certificaciones: GDAT, GCIH, GCFA, GCIA, AZ-500, AWS Security Specialty, Google Professional Cloud Security Engineer.
• Modelado de amenazas / perfilado de adversarios; gestión de la exposición o herramientas de rutas de ataque.
• Seguridad de la IA: MITRE ATLAS, OWASP Top 10 para aplicaciones de LLM; automatización de seguridad agéntica con agentes de LLM.
• Un plan de carrera técnica competitivo pero flexible.
• Posibilidad de crecimiento profesional en un equipo en continuo crecimiento.
• Creemos en un modelo de trabajo híbrido, puedes trabajar hasta tres días por semana de forma remota, pero también vas a disfrutar del excelente ambiente de trabajo en nuestras modernas oficinas en el corazón de Madrid.
• Descuentos opcionales en seguros de salud (varias compañías).
• Descuentos en viajes, ¡por supuesto!

¡Ryanair Labs está reclutando actualmente a dos "Information Security - Senior Threat Detection & Response Engineers" para unirse al grupo de aerolíneas más grande de Europa!

Este es un momento muy emocionante para unirse a Ryanair, ya que buscamos expandir nuestra operación a 800 aviones y 300 millones de clientes en los próximos 10 años.

Ryanair Labs es la marca tecnológica de Ryanair. Labs es un centro de innovación digital y de TI de vanguardia que crea la experiencia de viaje líder en Europa para nuestros clientes.

Sobre el puesto
Un rol práctico de contribuidor individual en un equipo de seguridad de aerolínea ágil. Tu función principal es encontrar proactivamente dónde estamos ciegos o expuestos por falta de telemetría, falta de detecciones o controles débiles o no validados en entornos on-prem, endpoint y multicloud (AWS, GCP, Azure), y cerrar esas brechas metódicamente, con pruebas de que cada una se ha cerrado. También participarás en la respuesta ante incidentes: las brechas que encuentres provienen de incidentes reales, y las soluciones que construyas se probarán con ellos.

Cómo trabajarás: encontrar → definir → solucionar

• Encontrar. Mapear la telemetría y detecciones actuales frente a MITRE ATT&CK (Navigator/DeTT&CT), incluyendo las matrices de la nube (IaaS, SaaS, Identity Provider) para AWS, GCP y Azure; ejecutar emulación de adversarios y pruebas de simulación de brechas y ataques (breach-and-attack-simulation); analizar incidentes, búsquedas (hunts), pentests e inteligencia de amenazas en busca de técnicas que no pudimos ver o detener; auditar la salud de las fuentes de logs y la cobertura de activos.
• Definir. Convertir cada brecha en un elemento escrito: técnica, activos afectados, riesgo, telemetría requerida, lógica de detección, mitigación, responsable y prueba de aceptación. Priorizar en un único backlog frente a las amenazas más relevantes para la aviación.
• Solucionar. Integrar y normalizar fuentes de logs; construir detecciones como código (Sigma como fuente de verdad, convertido a consultas KQL, SPL o Elastic/OpenSearch; con control de versiones y probado en CI); ajustar según un presupuesto de falsos positivos acordado; trabajar con los propietarios de las plataformas para implementar y verificar controles preventivos (hardening, política de EDR, identidad y acceso condicional, guardrails de la nube); volver a probar para demostrar el cierre; actualizar el mapa de cobertura.
• Responsable de la detección y visibilidad en los planos de control e identidad de AWS, GCP y Azure: ingesta de logs de auditoría, alertas de servicios de seguridad nativos y hallazgos de configuración incorrecta/exposición que alimenten el backlog de brechas.
• Realizar ejercicios de purple-team con socios de red-team/pentest y convertir los hallazgos en detecciones y mitigaciones.
• Realizar búsquedas (hunts) proactivas de técnicas que el mapa de cobertura muestre como no cubiertas.
• Liderar la contención, erradicación y recuperación durante los incidentes; realizar análisis forense; aportar las lecciones aprendidas directamente al backlog de brechas.
• Automatizar el enriquecimiento, el triaje y la respuesta (SOAR, Python, PowerShell) donde esto elimine el trabajo manual repetitivo.
• Utilizar asistentes de LLM y herramientas de codificación agénticas (Claude Code, OpenCode) para acelerar la redacción de reglas, la conversión de backend, la generación de casos de prueba, el código de parser/automatización y el triaje, validando los resultados antes de que cualquier cosa llegue a producción.
• Producir métricas de cobertura y rendimiento directamente del trabajo (cobertura ATT&CK %, tasa de cierre de brechas, tasa de aprobación de validación, MTTD/MTTR) para la dirección.