Liderazgo en Seguridad de la Información

Omar Passos

CISO • Threat Intelligence • Investigación Corporativa • Fundador de zynTRIQ

Lidero una seguridad que habla el idioma del SOC, del auditor y del directorio. Construyo SGSI/ISO 27001, RBVM, SOC y respuesta a incidentes que priorizan lo que realmente amenaza al negocio, y convierto la exposición y las vulnerabilidades en riesgo medido en dinero. También trabajo en Threat Intelligence e investigación corporativa.

Contratar como consultor WhatsApp LinkedIn Descargar CV (PDF)

15+años en tecnología, más de 12 dedicados a la seguridad
−60%en el tiempo medio de triaje de vulnerabilidades (zynTRIQ)
−45%de backlog crítico con RBVM y gobierno de SLAs
CISOde analista a CISO en TOTVS, Copel, DNIT y scale-ups

Eres

ReclutadorLiderazgo en seguridad: CISO, SOC, GRC y gestión de vulnerabilidades.Ver trayectoria
ClientevCISO, ISO 27001 y LGPD, superficie de ataque, DFIR y OSINT.Ver servicios
InversorzynTRIQ: superficie de ataque, Vulnerability Intelligence y riesgo en dinero en una sola plataforma.Conocer zynTRIQ

Experiencia en

zynTRIQ
Task TI
Copel
TOTVS
meutudo.
Exago Innovation
Rentcars.com
DNIT
Levier Tecnologia
zynTRIQ
Task TI
Copel
TOTVS
meutudo.
Exago Innovation
Rentcars.com
DNIT
Levier Tecnologia

Perfil

La mayoría de las empresas solo descubre lo que tiene expuesto en internet cuando alguien de fuera lo descubre primero.

Y ninguna respuesta a la pregunta que el directorio realmente hace:
¿Cuánto riesgo estamos corriendo, en dinero?

En más de 15 años en tecnología y seguridad, he visto esta película repetirse:

Miles de vulnerabilidades en el escáner y un backlog crítico que nunca se cierra.
Demasiadas alertas, un equipo ahogado en triaje y plazos de corrección vencidos.
Cada auditoría se convierte en una carrera contra el reloj.
Cuando ocurre el incidente, faltan evidencias para reconstruir lo sucedido y decidir rápido.

Mi trabajo es invertir esa lógica.

Pasé por DNIT, TOTVS, Copel y scale-ups, de analista a CISO, estructurando SGSI/ISO 27001, programas de RBVM, SOC y respuesta a incidentes que priorizan lo que realmente amenaza al negocio.

−60%en el tiempo medio de triaje de vulnerabilidades
−45%en el backlog crítico con RBVM y gobierno de SLAs

Inteligencia Corporativa e Investigación Digital

OSINT, análisis de evidencias, riesgo de terceros y reconstrucción de incidentes para apoyar decisiones de negocio.

De esa experiencia nació zynTRIQ

Plataforma de Attack Surface Management, Vulnerability Intelligence y GRC que conecta exposición, vulnerabilidades y riesgo financiero (FAIR), alineada con ISO 27001, LGPD, PCI-DSS, CIS Controls y PPSI 2.0.

Credenciales

CISM
SANS FOR508 (DFIR)
ISO 27001
LGPD/DPO
320h en Redes Neuronales y Deep Learning aplicados a la detección

Si buscas un liderazgo de seguridad que hable el idioma del SOC, del auditor y del directorio, conversemos.

WhatsApp LinkedIn Enviar correo

Freelance • Consultoría

Disponible para proyectos como freelance y consultor

Con más de 15 años en Seguridad de la Información (CISM, ISO 27001, LGPD/DPO, SANS FOR508), apoyo a empresas, despachos y socios en proyectos puntuales o continuos.

vCISO
vCISO / CISO as a Service
Liderazgo de seguridad para empresas que aún no tienen un CISO.
- Hoja de ruta y presupuesto de seguridad
- Indicadores y reporte al directorio
- Políticas y gobierno continuo
GRC
ISO 27001 y LGPD
Adecuación, gap analysis y DPO as a Service.
- Gap analysis ISO/IEC 27001
- Programa LGPD y evaluación de impacto (DPIA)
- Delegado de protección de datos externo
ASM
Superficie de Ataque
Mapeo de activos y riesgos expuestos en internet.
- Inventario de activos externos
- Exposiciones priorizadas por riesgo
- Plan de remediación con SLAs
DFIR
Respuesta a Incidentes y Forense Digital
Investigación y análisis de evidencias.
- Contención y erradicación
- Línea de tiempo del incidente
- Informe técnico con cadena de custodia
OSINT
OSINT y Due Diligence
Investigación digital y riesgo de terceros.
- Antecedentes de empresas y socios
- Evaluación de riesgo de proveedores
- Informe de inteligencia
EDU
Formación y Mentoría
Capacitación de equipos y charlas.
- Concienciación y gamificación
- Mentoría de equipos de seguridad
- Charlas y talleres

Modalidades de contratación

Proyecto cerradoAlcance, plazo y entregables definidos. Ideal para gap analysis, mapeo de superficie de ataque o investigaciones.
Retainer mensualHoras recurrentes para vCISO, DPO as a Service o monitoreo continuo de exposición.
Bajo demandaApoyo puntual en incidentes, auditorías, dictámenes técnicos y charlas.

Si tu empresa (o algún cliente) necesita apoyo en seguridad, escríbeme por privado.

Escribir por WhatsApp Mensaje por LinkedIn Enviar correo

+55 41 99968-1251 • omar.ctba@gmail.com • linkedin.com/in/omarpassos

Las alianzas con consultoras y despachos de abogados son bienvenidas.

Threat Intelligence • Investigación Corporativa

Inteligencia que se convierte en decisión

Uso la inteligencia de amenazas y la investigación digital para responder preguntas concretas: quién puede atacarnos, por dónde, qué ya se filtró y con quién estamos haciendo negocios.

CTI

Threat Intelligence

Inteligencia de amenazas estratégica, táctica y operativa, conectada a la superficie de ataque y a la operación del SOC.

Monitoreo de exposición: Credenciales y datos filtrados, activos olvidados y servicios expuestos en internet.
Vulnerability Intelligence: Priorización por explotabilidad real, explotación activa y contexto del activo.
TTPs e IOCs: Mapeo de adversarios con MITRE ATT&CK y enriquecimiento de alertas en el SIEM.
Informes ejecutivos: Escenarios de amenaza por sector traducidos en riesgo y recomendaciones para el directorio.

INV

Investigación Corporativa

Inteligencia corporativa y due diligence para apoyar al área legal, compliance y la alta dirección en decisiones sensibles.

Due diligence y riesgo de terceros: Antecedentes de empresas, socios y proveedores antes de contratos, fusiones y adquisiciones.
Investigaciones internas: Fraudes, fuga de información y uso indebido de accesos.
Análisis de evidencias: Recolección y preservación con cadena de custodia, respaldadas por la formación SANS FOR508.
Reconstrucción de incidentes: Línea de tiempo, atribución técnica e informes aptos para uso legal y regulatorio.

Ciclo de inteligencia

01PlanificaciónPregunta de inteligencia, alcance y base legal definidos con el cliente.
02RecolecciónOSINT, fuentes técnicas y evidencias internas, solo por medios lícitos.
03ProcesamientoNormalización, correlación y preservación de evidencias.
04AnálisisHipótesis contrastadas, nivel de confianza y vacíos declarados.
05DifusiónInforme ejecutivo y técnico con recomendaciones accionables.

Toda investigación cumple la LGPD brasileña, usa solo fuentes y métodos lícitos y se realiza bajo confidencialidad.

Análisis de competencias

Calificaciones en números

Comparativas y correlaciones entre las áreas de Seguridad de la Información en las que trabajo. Los niveles son una autoevaluación basada en mi trayectoria, proyectos y certificaciones.

Perfil × exigencia del rol

Elige un rol para comparar mi nivel con lo que suele exigir. El margen es el promedio de puntos por encima (o por debajo) de la exigencia.

Omar Passos
Exigencia del rol

Ver datos en tabla

Área	Mi nivel	vCISO / CISO	Threat Intel e Investigación	Liderazgo de SOC / DFIR	Arquitecto de Seguridad
Liderazgo y gestión	96	95	60	75	65
GRC y privacidad	95	95	55	60	75
Vulnerabilidades / RBVM	94	80	70	75	80
Seguridad ofensiva	85	50	60	65	70
SOC y detección	92	70	75	95	75
Respuesta a incidentes y forense	88	70	85	95	55
Threat Intelligence	90	65	95	80	60
Investigación y OSINT	88	45	95	70	35
Nube y arquitectura	86	75	55	75	95

Correlación entre conocimientos

Cuánto la práctica en un área refuerza otra en mi trabajo. Pasa el ratón para ver cada par.

Intensidad

Débil
Moderada
Fuerte

Conexiones más fuertes

SOC ↔ DFIR ↔ CTI
Detección, respuesta e inteligencia forman una sola cadena: cada incidente alimenta nuevas detecciones e hipótesis de amenaza.
VULN ↔ CTI
Vulnerability Intelligence: priorizo correcciones por la explotación activa observada, no solo por el CVSS.
DFIR ↔ INV
La disciplina forense (SANS FOR508) aporta cadena de custodia y rigor a las investigaciones corporativas.
GRC ↔ VULN
RBVM vinculado al riesgo de negocio, SLAs y auditoría. Es la base de zynTRIQ.

Certificaciones y cursos por área

30 formaciones en total, incluidas CISM, SANS FOR508, EXIN PDPE e ISO/IEC 27001.

Gobierno, riesgo y privacidad11
Redes, infraestructura y nube6
Seguridad ofensiva4
Datos, IA y programación4
Forense e investigación3
Ciberseguridad general2

Evolución de las áreas a lo largo de la carrera

Periodos de práctica en cada área, a partir de la trayectoria profesional.

LEAD Liderazgo y gestión
GRC GRC y privacidad
VULN Vulnerabilidades / RBVM
OFF Seguridad ofensiva
SOC SOC y detección
DFIR Respuesta a incidentes y forense
CTI Threat Intelligence
INV Investigación y OSINT
CLOUD Nube y arquitectura

Competencias

Competencias de liderazgo y técnicas

Personas y operación

Liderazgo de especialistas
Asignación de recursos
Gestión del desempeño
SLAs e indicadores

Gobierno, riesgo y cumplimiento

SGSI (ISO/IEC 27001)
LGPD/DPO
PCI-DSS
CIS Controls
PPSI 2.0
Riesgo de terceros
Auditorías

Gestión de vulnerabilidades

RBVM
Attack Surface Management
Pentest y Purple Team
FAIR

Detección y respuesta

Estrategia de SOC
SIEM (ELK)
EDR/XDR
SOAR
DFIR
Playbooks

Inteligencia e investigación

Threat Intelligence
Inteligencia Corporativa
Due Diligence
OSINT
Análisis de evidencias

Base técnica

AWS, Azure y GCP
Arquitectura y hardening
DLP y clasificación
Python, Go y Ruby
Ingeniería inversa (ética)

Producto propio

zynTRIQ

Plataforma de Attack Surface Management, Vulnerability Intelligence y GRC que ideé y lidero. Conecta la exposición externa, las vulnerabilidades y el riesgo financiero (FAIR) para responder qué corregir primero.

Conocer zynTRIQ ↗Visión ejecutiva de la solución (interactiva) ↗Mapa mental de la plataforma (interactivo) ↗

Superficie de ataqueDescubrimiento continuo de activos y servicios expuestos en internet.
Vulnerability IntelligencePriorización por explotabilidad, exposición y contexto del activo.
GRCControles mapeados a ISO 27001, LGPD, PCI-DSS, CIS Controls y PPSI 2.0.
Riesgo en dineroCuantificación FAIR para hablar con el directorio en el idioma del negocio.

apivpnmails3rdpcdndev

Escaneo continuo de la superficie de ataque (ilustración)

Cómo zynTRIQ convierte la exposición en decisiones

01
DescubrimientoActivos y servicios expuestos en internet
02
Vulnerability IntelligenceExplotación activa y contexto del activo
03
Riesgo FAIRImpacto estimado en dinero
04
DecisiónQué corregir primero, con SLA

Diferenciales

ASM, Vulnerability Intelligence y GRC en una sola plataforma
Riesgo traducido a dinero (FAIR) para el directorio
Construida por quien operó SOC, RBVM y GRC en la práctica
Controles mapeados a LGPD, PCI-DSS, CIS Controls y PPSI 2.0

zynTRIQ

Inversores y socios

zynTRIQ está en desarrollo activo, liderada por un fundador técnico con más de 15 años en seguridad. Estoy abierto a conversar con inversores, aceleradoras y socios estratégicos.

Conversar sobre zynTRIQ zyntriq.com.br ↗

Carrera

Trayectoria profesional

jul. 2023 – actualidad
Founder & Head of Cyber Security · zynTRIQ
São Paulo, Brasil
- Ideé y lidero el desarrollo de zynTRIQ, plataforma de ASM, Vulnerability Intelligence y GRC con cuantificación de riesgo (FAIR).
- Reduje en ~60% el tiempo medio de triaje de hallazgos con automatización (Python, Go, Ruby) y estandarización de procesos.
- Diseñé controles de protección de datos (discovery, clasificación, tokenización, enmascaramiento y DLP) integrados al SIEM (ELK), con detección de exfiltración en la nube.
- Definí la hoja de ruta de seguridad y políticas alineadas con ISO/IEC 27001, LGPD, PCI-DSS, CIS Controls y PPSI 2.0.
dic. 2024 – jul. 2025
Coordinador del Cyber Defense Center · Task TI
Curitiba, Brasil
- Definí la estrategia y el modelo operativo del SOC, con selección e implantación de soluciones de IVM, IDR, ASM, DFIR, MDR y OSINT.
- Lideré y desarrollé un equipo de especialistas, con asignación de recursos, seguimiento del desempeño y gestión de entregas.
- Coordiné la investigación y respuesta a incidentes, de la contención a la recuperación, incluida la comunicación con el negocio.
jul. 2024 – oct. 2024
Arquitecto de Seguridad de la Información · Copel
Curitiba, Brasil
- Diseñé e implementé la arquitectura de seguridad con evaluación continua de riesgos en un entorno corporativo de gran escala.
- Implementé, monitoreé y validé controles de seguridad y conduje iniciativas de concienciación.
dic. 2022 – may. 2024
Especialista en Seguridad de la Información · meutudo.
Fortaleza, Brasil (remoto)
- Estructuré el programa de seguridad de la fintech: política de seguridad, SGSI, RBVM y riesgo de terceros, reduciendo el backlog crítico en 45%.
- Implanté monitoreo con dashboards SIEM (ELK) y controles de red (pfSense, IDS/IPS Snort y Suricata).
- Trabajé en Pentest y Purple Team y lideré el programa de concienciación con gamificación.
ene. 2022 – nov. 2022
CISO · Exago Innovation
Portugal (remoto)
- Fui responsable de la seguridad de la información de la empresa, implantando un programa de seguridad y cumplimiento con RBVM, SGSI y riesgo de terceros.
- Lideré seguridad de aplicaciones, gestión del riesgo humano y cultura de ciberseguridad.
dic. 2020 – ene. 2022
Analista Sénior de Seguridad de la Información · TOTVS
Curitiba, Brasil
- Contribuí a la política de seguridad y al programa RBVM/SGSI en una de las mayores empresas de software de Brasil.
- Ejecuté pruebas de intrusión y ejercicios de Purple Team, validando controles de perímetro y detección.

Experiencia anterior

ago. 2018 – actualidadConsultor de Seguridad, Pentester y Bug Bounty · IndependientePruebas de intrusión, ingeniería inversa y respuesta a DDoS.
dic. 2019 – ago. 2020Analista de Seguridad / Pentester · Rentcars.comPentest, gestión de vulnerabilidades, investigación de incidentes y LGPD.
jun. 2014 – jun. 2018Analista de Seguridad de Redes · DNITForense digital, SIEM, análisis de DDoS, firewalls Fortigate y VPNs.
jul. 2008 – nov. 2012Coordinador de TI y Proyectos · Levier TecnologiaInfraestructura, datos y sistemas con redes neuronales.

Credenciales

Certificaciones y formación

CISMCertified Information Security ManagerISACA
SANS FOR508Advanced Computer Forensics & Incident ResponseSANS Institute, 2012
EXIN PDPEPrivacy & Data Protection Essentials (LGPD)EXIN, 2020
ISO/IEC 27001Foundation EssentialsPMG Academy, 2020

Formación académica

Administración de Empresas, con énfasis en Comercio Exterior — PUC-PR, Brasil (1998 – 2004)

Cursos complementarios

Gobierno, riesgo y privacidad: CIS Controls (ENAP, 2024) • LGPD (ENAP, 2019) • CRISC (Cybrary, 2019) • Derecho Digital Contemporáneo (Unieducar, 2019) • Preparación CISSP, CISA, CISM y PMP (CIP Cyber, 2019)
Seguridad ofensiva: OSCP – Kali Linux • Practical Ethical Hacking (Udemy) • CEH v10 (CIP Cyber, 2019) • Physical Penetration Testing (Cybrary, 2019)
Forense e investigación: Introducción a la Criminalística (Unova, 2019) • Hidden Website Using TOR (CIP Cyber, 2019)
Redes, infraestructura y nube: CompTIA Network+ (Cybrary) • Seguridad de Redes (WR Educacional, 2019) • Cisco Labs/GNS3 y EIGRP (CIP Cyber, 2019) • Fundamentos de Computación en la Nube (SOFTEX, 2019)
Datos, IA y programación: Redes Neuronales y Deep Learning, 320h (TensorFlow/PyTorch) • CS50 (Harvard / Fundação Estudar, 2023) • Ciencia de Datos (DSA, 2019) • Python (Udemy)

Contacto

Hablemos

Para consultoría, proyectos freelance, charlas u oportunidades de liderazgo en seguridad.

Correo: omar.ctba@gmail.com
WhatsApp: +55 41 99968-1251
LinkedIn: linkedin.com/in/omarpassos
zynTRIQ: zyntriq.com.br
Ubicación: Curitiba, Brasil (remoto/híbrido)

Omar Passos

La mayoría de las empresas solo descubre lo que tiene expuesto en internet cuando alguien de fuera lo descubre primero.

Inteligencia Corporativa e Investigación Digital

De esa experiencia nació zynTRIQ

vCISO / CISO as a Service

ISO 27001 y LGPD

Superficie de Ataque

Respuesta a Incidentes y Forense Digital

OSINT y Due Diligence

Formación y Mentoría