ANALISTA SR - SEG. INFORMACAO

O esporte nos move, e acreditamos no seu poder de transformar vidas.

No Grupo SBF, reunimos duas grandes forças do esporte no Brasil: a Centauro, maior varejista esportiva multimarcas da América Latina, e a Fisia, distribuidora oficial da Nike no país.

Nosso propósito é levar o esporte para todas as pessoas: do atleta do dia a dia ao apaixonado por performance, daquele que busca bem-estar ao que expressa sua personalidade ao se movimentar.

Queremos ser referência em esporte no Brasil e construir um futuro em que cada experiência com o esporte inspire, motive e transforme.

No nosso time, todo mundo tem espaço para jogar e evoluir.

E aí, que tal vestir essa camisa com a gente?

#SeleçãoSBF #vempraSBF

O desafio:
Buscamos alguém para ser referência técnica em segurança de nuvem no Grupo SBF. Você vai definir os controles e padrões de segurança da infraestrutura, construir com os times de plataforma e SRE a forma de aplicá-los via código e conduzir incidentes em cloud de ponta a ponta. O modelo é de parceria: a segurança define o quê e o porquê, e a engenharia executa o como, com nosso apoio.

O que você vai fazer:
• Postura e vulnerabilidades: triar findings de postura, de vulnerabilidades de infraestrutura e de pentests. Classificar por risco de negócio e contexto (exposição, attack path, combinações tóxicas), encaminhar ao time responsável com SLA e validar a correção.
• Revisão de design de segurança: conduzir revisões de novas arquiteturas, ambientes, exposições públicas e serviços que tratam dados sensíveis, com profundidade proporcional ao risco, do checklist assíncrono ao acompanhamento contínuo do projeto.
• Guardrails e baselines: desenhar controles preventivos no nível de organização e conta e manter baselines de hardening versionados e revisados periodicamente (identidade, rede, dados, logging, compute e containers).
• Segurança como código: revisar IaC, definir gates de segurança na pipeline (scan de IaC, policy-as-code) e garantir que as correções sejam feitas no código, tratando o drift de configuração.
• Identidade e acesso: definir políticas de menor privilégio para identidades humanas e não humanas, conduzir revisões periódicas de acesso e eliminar credenciais de longa duração e acessos ociosos.
• Kubernetes e containers: definir controles para clusters, imagens, admission control e runtime security, junto com plataforma e SRE.
• Detecção e resposta: manter um catálogo de casos de uso de detecção para o control plane da nuvem, escrever runbooks e conduzir incidentes: escopo, uso de credenciais, persistência, preservação de evidências, contenção, erradicação e post-mortem. Facilitar exercícios de simulação (tabletop).
• Interface com AppSec: cuidar da segurança das identidades e permissões de pipelines de CI/CD e, quando um segredo vaza, avaliar o impacto na nuvem e coordenar a revogação.
• Métricas e conformidade: acompanhar indicadores de postura e resposta (SLAs, MTTD/MTTR, aderência a benchmarks) e manter evidências de controles para auditorias e para a LGPD.
• Referência técnica: apoiar os pontos focais de segurança nos times de plataforma, conduzir office hours e treinamentos, escrever padrões e playbooks e comunicar risco à liderança.





O que buscamos:
• 5+ anos em segurança da informação, sendo 3+ dedicados à segurança de nuvem pública em ambiente produtivo de grande escala.
• Profundidade em GCP ou AWS e capacidade de transpor conceitos para o outro provedor.
• Domínio prático de IAM (incluindo identidades não humanas), redes em nuvem, criptografia/KMS e logging nativo.
• Experiência real com segurança de Kubernetes e containers, incluindo admission control.
• Automação com Terraform e Python (ou Go), com controles de segurança na pipeline de CI/CD.
• Experiência em gestão de vulnerabilidades e de postura com SLAs, priorização por contexto e acompanhamento da correção junto a times donos.
• Experiência em resposta a incidentes em cloud, com investigação a partir de audit logs.
• Uso aplicado de CIS Benchmarks, MITRE ATT&CK (Cloud) e NIST CSF 2.0, e conhecimento de LGPD.

Diferenciais:
• Certificações: Google Professional Cloud Security Engineer, AWS Security Specialty, CKS, CCSP ou CCSK.
• Detection-as-code e experiência com SIEM.
• Runtime security para containers.
• Segurança de workloads de IA (ex.: OWASP Top 10 for LLM Applications).
• Segurança da cadeia de suprimentos de software (SBOM, assinatura de imagens).
• Experiência em ambientes regulados (ex.: PCI DSS) e em varejo/e-commerce de alto volume.

Dia a dia:
• Atua como consultor: viabiliza a entrega com segurança e prefere guardrails automáticos a aprovações manuais.
• Prioriza por risco de negócio e tem senso de dono sobre a postura do ambiente.
• Escreve bem (design docs, ADRs, runbooks, relatórios) e se comunica com engenharia e com executivos.
• Desenvolve outras pessoas e compartilha conhecimento com o time.