ANALISTA SR - SEG. INFORMACAO

O esporte nos move, e acreditamos no seu poder de transformar vidas.No Grupo SBF, reunimos duas grandes forças do esporte no Brasil: a Centauro, maior varejista esportiva multimarcas da América Latina, e a Fisia, distribuidora oficial da Nike no país.Nosso propósito é levar o esporte para todas as pessoas: do atleta do dia a dia ao apaixonado por performance, daquele que busca bem-estar ao que expressa sua personalidade ao se movimentar.Queremos ser referência em esporte no Brasil e construir um futuro em que cada experiência com o esporte inspire, motive e transforme.No nosso time, todo mundo tem espaço para jogar e evoluir.E aí, que tal vestir essa camisa com a gente?#SeleçãoSBF #vempraSBFResponsabilidades e atribuições
O desafio:Buscamos alguém para ser referência técnica em segurança de nuvem no Grupo SBF. Você vai definir os controles e padrões de segurança da infraestrutura, construir com os times de plataforma e SRE a forma de aplicá-los via código e conduzir incidentes em cloud de ponta a ponta.

O modelo é de parceria: a segurança define o quê e o porquê, e a engenharia executa o como, com nosso apoio.O que você vai fazer:• Postura e vulnerabilidades: triar findings de postura, de vulnerabilidades de infraestrutura e de pentests. Classificar por risco de negócio e contexto (exposição, attack path, combinações tóxicas), encaminhar ao time responsável com SLA e validar a correção.• Revisão de design de segurança: conduzir revisões de novas arquiteturas, ambientes, exposições públicas e serviços que tratam dados sensíveis, com profundidade proporcional ao risco, do checklist assíncrono ao acompanhamento contínuo do projeto.• Guardrails e baselines: desenhar controles preventivos no nível de organização e conta e manter baselines de hardening versionados e revisados periodicamente (identidade, rede, dados, logging, compute e containers).• Segurança como código: revisar IaC, definir gates de segurança na pipeline (scan de IaC, policy-as-code) e garantir que as correções sejam feitas no código, tratando o drift de configuração.• Identidade e acesso: definir políticas de menor privilégio para identidades humanas e não humanas, conduzir revisões periódicas de acesso e eliminar credenciais de longa duração e acessos ociosos.• Kubernetes e containers: definir controles para clusters, imagens, admission control e runtime security, junto com plataforma e SRE.• Detecção e resposta: manter um catálogo de casos de uso de detecção para o control plane da nuvem, escrever runbooks e conduzir incidentes: escopo, uso de credenciais, persistência, preservação de evidências, contenção, erradicação e post-mortem.

Facilitar exercícios de simulação (tabletop).• Interface com AppSec: cuidar da segurança das identidades e permissões de pipelines de CI/CD e, quando um segredo vaza, avaliar o impacto na nuvem e coordenar a revogação.• Métricas e conformidade: acompanhar indicadores de postura e resposta (SLAs, MTTD/MTTR, aderência a benchmarks) e manter evidências de controles para auditorias e para a LGPD.• Referência técnica: apoiar os pontos focais de segurança nos times de plataforma, conduzir office hours e treinamentos, escrever padrões e playbooks e comunicar risco à liderança.

Requisitos e qualificações
O que buscamos:• 5+ anos em segurança da informação, sendo 3+ dedicados à segurança de nuvem pública em ambiente produtivo de grande escala.• Profundidade em GCP ou AWS e capacidade de transpor conceitos para o outro provedor.• Domínio prático de IAM (incluindo identidades não humanas), redes em nuvem, criptografia/KMS e logging nativo.• Experiência real com segurança de Kubernetes e containers, incluindo admission control.• Automação com Terraform e Python (ou Go), com controles de segurança na pipeline de CI/CD.• Experiência em gestão de vulnerabilidades e de postura com SLAs, priorização por contexto e acompanhamento da correção junto a times donos.• Experiência em resposta a incidentes em cloud, com investigação a partir de audit logs.• Uso aplicado de CIS Benchmarks, MITRE ATT&CK (Cloud) e NIST CSF 2.0, e conhecimento de LGPD.Diferenciais:• Certificações: Google Professional Cloud Security Engineer, AWS Security Specialty, CKS, CCSP ou CCSK.• Detection-as-code e experiência com SIEM.• Runtime security para containers.• Segurança de workloads de IA (ex.: OWASP Top 10 for LLM Applications).• Segurança da cadeia de suprimentos de software (SBOM, assinatura de imagens).• Experiência em ambientes regulados (ex.: PCI DSS) e em varejo/e-commerce de alto volume.Dia a dia:• Atua como consultor: viabiliza a entrega com segurança e prefere guardrails automáticos a aprovações manuais.• Prioriza por risco de negócio e tem senso de dono sobre a postura do ambiente.• Escreve bem (design docs, ADRs, runbooks, relatórios) e se comunica com engenharia e com executivos.• Desenvolve outras pessoas e compartilha conhecimento com o time.