Soy Alexander Bohórquez Zamora. Ingeniero de Sistemas y Auditor de Seguridad de la Información en una firma Big Four. Además de identificar la vulnerabilidad técnica, documento el informe que la alta gerencia comprende y diseño la matriz de remediación que los equipos de TI pueden ejecutar.
No soy un pentester autodidacta más. Vengo de evaluar controles de accesos lógicos (GIAM/RBAC), segregación de funciones (SoD) y Directorio Activo bajo alcance SOX.
Cada writeup en este sitio documenta una prueba en laboratorio autorizado bajo el estándar de un entregable real de consultoría: qué falló, cuánto pesa (CVSS), qué control ISO 27001 incumple y cómo se remedia de raíz.
"Mi trabajo diario consiste en responder una pregunta que parece simple y casi nunca lo es: ¿este usuario debería poder hacer esto?"
Auditor de Seguridad de la Información en transición hacia la seguridad ofensiva.
Trabajo en una firma Big Four evaluando controles de accesos lógicos, gestión de identidades (GIAM/RBAC), segregación de funciones (SoD) y Directorio Activo en entornos corporativos de alta complejidad, incluyendo sistemas bajo alcance regulatorio SOX. Traduzco hallazgos técnicos en informes ejecutivos que la gerencia comprende y que los equipos de infraestructura y TI pueden accionar sin ambigüedades.
Estoy llevando ese criterio hacia el otro lado de la mesa. Este portafolio documenta mi trabajo en laboratorios de pentesting con el formato de un entregable real de consultoría: no solo cómo obtuve acceso, sino qué significa el hallazgo, cuánto pesa y cómo se cierra.
Vengo además de una base sólida como DevOps Engineer —construyendo pipelines CI/CD en Azure DevOps, automatización y Git— que utilizo para programar mis propias herramientas de reconocimiento, recolección de evidencias y auditoría. Actualmente preparo la certificación de Auditor Interno ISO/IEC 27001:2022.
Criterio analítico en matrices de segregación de funciones, control de privilegios mínimos y aseguramiento de identidades en AD.
Capacidad para construir herramientas propias en Python/PowerShell e integrar controles de seguridad en pipelines CI/CD.
Casos prácticos desarrollados en laboratorios autorizados, estructurados con fichas técnicas formales de hallazgo y planes de remediación.
Extracción de tickets TGS sobre cuentas con Service Principal Names (SPN) con contraseñas débiles, evaluación del riesgo de control interno bajo alcance SOX e implementación de gMSA.
Manipulación de endpoints REST para autoasignación de roles privilegiados, quebrando la matriz SoD empresarial y evadiendo políticas de control de acceso lógico.
Como muestra de mis capacidades en desarrollo de software, ingeniería de requerimientos y despliegue CI/CD, diseñé y desplegué Kognilang: una aplicación interactiva construida en Flutter Web conectada a Firebase (Firestore y Authentication) que implementa el algoritmo de repetición espaciada FSRS y transcripción fonética AFI.
