Analista DevSecOps

Estamos em busca de um(a) Analista de Segurança da Informação para integrar a equipe de Operações de TI da Water Services and Technologies (WST), com foco na segurança de aplicações, APIs e processos de desenvolvimento.

O profissional trabalhará com Desenvolvimento, DevOps, Produtos e GRC para incorporar verificações de segurança ao ciclo de desenvolvimento dos nossos produtos SaaS, identificar vulnerabilidades e apoiar sua correção.

Suas entregas contribuirão para a evolução do desenvolvimento seguro e para a implementação dos controles técnicos da jornada de certificação ISO/IEC 27001:2022.

Local: Belo Horizonte/MG ou Florianópolis/SC. Modelo de trabalho: híbrido. Modalidade de contratação: prestação de serviços — Pessoa Jurídica (PJ).

Principais responsabilidades

• Implementar e aprimorar verificações de segurança no ciclo de desenvolvimento de software.
• Implementar e aprimorar a modelagem de ameaças no ciclo de desenvolvimento de software.
• Integrar e operar ferramentas SAST, DAST e análise de dependências nos pipelines de CI/CD.
• Analisar resultados de testes de segurança, validar achados e tratar falsos positivos.
• Analisar relatórios de pentest e apoiar os desenvolvedores na definição e implementação das correções.
• Validar correções e acompanhar prazos de tratamento de vulnerabilidades.
• Avaliar a segurança de aplicações web e APIs, incluindo autenticação, autorização, sessões e proteção de dados.
• Avaliar controles de segregação entre clientes em aplicações SaaS com múltiplos tenants.
• Participar de revisões de arquitetura e de código com foco em segurança.
• Apoiar práticas de security e privacy by design desde a concepção de funcionalidades e projetos.
• Definir e aplicar critérios de segurança para aprovação de versões e mudanças, em conjunto com Desenvolvimento e DevOps.
• Apoiar controles de acesso ao código-fonte, proteção de branches e separação entre ambientes.
• Avaliar a segurança de containers, imagens e dependências utilizadas pelas aplicações.
• Apoiar a gestão segura de segredos, credenciais, certificados e chaves utilizados pelas aplicações.
• Apoiar controles de mascaramento e uso de dados em ambientes não produtivos.
• Contribuir para requisitos de logs de aplicação e investigação de incidentes.
• Orientar desenvolvedores sobre vulnerabilidades e práticas de codificação segura.
• Documentar verificações, decisões e evidências técnicas para acompanhamento dos controles e auditorias.

Requisitos obrigatórios

• Formação superior em Tecnologia da Informação, Segurança da Informação, Sistemas de Informação, Engenharia ou áreas correlatas, ou experiência profissional equivalente.
• Experiência prática em segurança de aplicações ou desenvolvimento de software com atuação em segurança.
• Conhecimento aplicado de vulnerabilidades de aplicações web e APIs, incluindo OWASP Top 10.
• Conhecimento de HTTP/HTTPS, APIs REST, autenticação, autorização e gestão de sessões.
• Experiência com ferramentas SAST e DAST e conhecimento de análise de dependências de software.
• Conhecimento de Git e pipelines de CI/CD, com capacidade de integrar verificações de segurança.
• Capacidade de ler código e identificar problemas de segurança em pelo menos uma linguagem utilizada em aplicações web.
• Experiência na análise de achados de pentest e orientação de ações corretivas.
• Conhecimento de gestão de segredos e proteção de credenciais.
• Conhecimento de containers e separação de ambientes de desenvolvimento, homologação e produção.
• Capacidade de priorizar vulnerabilidades considerando exposição, possibilidade de exploração e impacto no negócio.
• Boa comunicação para trabalhar com desenvolvedores e explicar riscos e recomendações.
• Capacidade de documentar análises e evidências de validação.

Diferenciais

• Experiência com produtos SaaS e arquiteturas com múltiplos tenants.
• Conhecimento de segurança em AWS e aplicações executadas em containers.
• Experiência com GitHub Actions, SonarQube ou ferramentas equivalentes.
• Conhecimento de OAuth 2.0, OpenID Connect, JWT e integração com Microsoft Entra ID.
• Experiência com modelagem de ameaças e revisão de arquitetura.
• Experiência com programa Security Champions
• Conhecimento de OWASP ASVS e OWASP API Security Top 10.
• Experiência com ferramentas de teste de aplicações, como Burp Suite ou OWASP ZAP.
• Automação de verificações de segurança com scripts.
• Conhecimento de infraestrutura como código e segurança da cadeia de fornecimento de software.
• Participação na implementação de controles de desenvolvimento seguro da ISO/IEC 27001 e ISO/IEC 27002.
• Certificações relacionadas a segurança de aplicações ou testes de segurança.
• Inglês intermediário ou avançado.

Competências comportamentais

• Capacidade analítica e atenção aos detalhes.
• Autonomia e responsabilidade pelas entregas.
• Colaboração com Desenvolvimento, DevOps e Produtos.
• Comunicação didática para orientar correções.
• Priorização orientada a riscos.
• Organização no acompanhamento de vulnerabilidades.
• Cuidado na execução de testes em ambientes produtivos.
• Discrição no tratamento de informações sensíveis.

Tecnologias e referências desejáveis

• Git, GitHub e pipelines de CI/CD.
• Ferramentas SAST, DAST e análise de dependências.
• CodePipeline, CodeBuild
• SonarQube.
• Terraform
• Docker e ambientes de containers.
• AWS.
• Burp Suite ou OWASP ZAP.
• OWASP Top 10, OWASP API Security Top 10 e OWASP ASVS.
• ISO/IEC 27001, ISO/IEC 27002 e ISO/IEC 27017