Ejemplo de CV Junior GRC Analyst

Best Practices para el Currículum de Analista GRC Junior

1. Lidera con el nombre del framework y la plataforma juntos. Los hiring managers escanean por el par: 'recolección de evidencia SOC 2 Type II en Drata' supera a 'trabajo de compliance'. Frameworks sin plataformas se leen como cursos; plataformas sin frameworks se leen como suerte de toolset.
2. Cuantifica el throughput de evidencia. Número de controles cubiertos, porcentaje de evidencia auto-recolectada vía API, tasa de aprobación de pruebas de control. Incluso números aproximados te separan del candidato que 'ayudó con auditorías'.
3. Demuestra que mataste al menos un workflow de capturas. La evidencia recolectada por API (AWS Config, exports Okta, GitHub audit logs) es la señal senior incluso a nivel junior. La preparación de auditoría basada en capturas es la anti-señal contra la que los reclutadores ahora hacen grep.
4. Coloca el stack GRC inline, no en una 'lista de herramientas' al final. Drata, Vanta, OneTrust, Hyperproof y Secureframe deben aparecer dentro de un bullet de logro, no en una tira de 25 íconos. Nombrarlos inline prueba hands-on; las tiras señalan solo exposición.
5. Encuadra tu título como vocabulario de riesgo y controles. Auditoría TI, política de seguridad de la información, enterprise risk management, cursos de cloud security deben aparecer como una lista de una línea bajo tu título, reflejando keywords de las ofertas objetivo.

Errores Comunes de Currículum para Analista GRC Junior

1. Listar 'redacté políticas SOC 2' sin un conteo de controles ni plataforma

Por qué duele: Los reclutadores ahora tratan 'redacté políticas SOC 2' como boilerplate. Sin un conteo de controles ni un nombre de plataforma, el bullet se lee como un assignment de plantilla, no como trabajo real de auditoría.

Cómo arreglar: Reemplaza con 'Liderado la recolección de evidencia SOC 2 Type II a través de 134 controles en Drata, reemplazando el flujo basado en capturas por auto-recolección por API para AWS, Okta y GitHub'.

1. Listar CISSP a nivel junior como si compensara el gap de experiencia

Por qué duele: CISSP requiere 5 años de experiencia remunerada para estar activo; listarlo en un currículum junior se lee como engañoso o aspiracional. Los hiring managers lo detectan al instante y descuentan el resto del currículum.

Cómo arreglar: Pon certificaciones apropiadas para junior al frente (ISACA CSX, AWS Cloud Practitioner, Security+, ISO 27001 Foundation). Anota CISSP por separado como 'in progress' solo después de que tengas la experiencia que califica.

1. 'Experiencia en compliance' genérica sin nombres de framework

Por qué duele: El hiring GRC es framework-específico. Un bullet que dice 'experiencia en compliance' sin nombrar SOC 2, ISO 27001, PCI DSS o HIPAA falla el primer pase ATS.

Cómo arreglar: Elige los dos frameworks que tocaste, nómbralos con precisión (SOC 2 Type II Trust Services Criteria, controles ISO 27001 Annex A) y liga cada uno a un número de controles o piezas de evidencia que manejaste.

Tips para el Currículum de Analista GRC Junior

1. Construye un lab personal SOC 2 en AWS. Una cuenta AWS gestionada con Terraform con Config, CloudTrail, IAM Identity Center y un trial de Drata es la forma más barata de poner 'API auto-collection' en un currículum junior honestamente.
2. Redacta 2-3 narrativas de control en público. Elige un control (ej. CC6.1 logical access) y escribe la narrativa en un Notion o GitHub repo público. Es la forma más rápida de probar que puedes escribir prosa de auditoría sin reclamar evidencia del empleador.
3. Usa los IDs de referencia exactos del framework. 'SOC 2 CC6.1 Logical Access', 'ISO 27001 A.5.15 Access Control', 'PCI DSS 4.0 Requirement 8'. Los IDs de referencia separan a los candidatos junior que estudiaron el estándar de los candidatos que ojearon un blog de vendor.
4. Lista los tipos de evidencia que realmente manejaste. Capturas de configuración, exports Okta, tickets Jira, registros de PRs en GitHub, snapshots de AWS Config. La especificidad se lee como trabajo real; 'evidencia' genérica se lee como teórica.