Descrição da vaga
Conheça mais sobre a gente!
Nosso propósito é claro: impulsionar o potencial humano. Acreditamos que, com tecnologia e inovação, podemos transformar a forma como pessoas e empresas se conectam. Somos a AI Talent Platform nº 1 para gestão de pessoas no Brasil, com uma jornada completa que vai do recrutamento ao desenvolvimento e acompanhamento, agora com agentes de IA e dados centralizados atuando de forma integrada.
Na Gupy, estimulamos o desenvolvimento contínuo em um ambiente com desafios reais, autonomia, colaboração entre áreas e espaço para inovar. O aprendizado faz parte do dia a dia e é potencializado por times diversos e colaborativos, que acreditam no poder das conexões genuínas.
Para nós, diversidade é muito importante! Se você pertence a um grupo diverso, saiba que todas as nossas vagas são abertas para você. Queremos construir um time cada vez mais inclusivo, onde todos possam crescer e contribuir de forma única.
Fazer parte da Gupy é criar o futuro do trabalho com propósito, tecnologia e impacto real na vida das pessoas.
Responsabilidades e atribuições
A área de Tecnologia da Gupy é o coração da nossa inovação! Com times de Produto, Design e Engenharia, criamos soluções que transformam o mercado de RH e desenvolvimento humano. Trabalhamos em um ambiente colaborativo, diverso e dinâmico, sempre focados em oferecer a melhor experiência para nossos usuários. Aqui, a inovação é constante, e cada pessoa tem espaço para crescer e impactar o futuro do trabalho!
Como Especialista em Segurança de Aplicações (AppSec), você vai:
- Ser referência técnica em segurança para os times de Produto e Engenharia, levando a segurança para o início do ciclo de desenvolvimento sem comprometer a velocidade de entrega.
- Conduzir sessões de threat modeling em novas features e mudanças de arquitetura, identificando riscos e propondo controles antes da implementação.
- Realizar code reviews de segurança e testes manuais em aplicações web, APIs e mobile, buscando vulnerabilidades como XSS, IDOR, SSRF e falhas de controle de acesso.
- Implementar, manter e calibrar ferramentas de SAST, DAST, SCA e detecção de segredos integradas aos pipelines de CI/CD.
- Fazer a triagem, priorização e acompanhamento das vulnerabilidades, apoiando as pessoas desenvolvedoras na correção com orientações práticas.
- Definir padrões e guias de desenvolvimento seguro, cobrindo autenticação, autorização, criptografia e tratamento de dados pessoais.
- Disseminar a cultura de segurança por meio de treinamentos
- Apoiar iniciativas de conformidade (LGPD, ISO 27001, SOC 2) e participar da resposta a incidentes envolvendo aplicações.
Principais entregáveis de curto/médio prazo:
- Mapear o cenário atual de segurança das aplicações, incluindo ferramentas em uso, backlog de vulnerabilidades e principais riscos dos produtos Gupy.
- Evoluir SAST, SCA e detecção de segredos rodando nos pipelines de CI/CD dos repositórios críticos, com regras ajustadas para reduzir falsos positivos.
- Implementar um fluxo de triagem e priorização com SLAs de correção por criticidade, acompanhado por indicadores como tempo médio de correção.
- Incorporar a modelagem de ameaças ao fluxo de desenvolvimento de novas features de maior risco.
- Publicar padrões e checklists de segurança para os times de Engenharia.
- Realizar ou coordenar testes de intrusão nas aplicações e APIs mais críticas, com plano de correção acordado com os times.
Requisitos e qualificações
Como requisitos básicos, você deve ter:
- Experiência sólida em segurança de aplicações, ou em desenvolvimento de software com forte atuação em segurança.
- Conhecimento aprofundado do OWASP Top 10 e do OWASP API Security Top 10, além das principais classes de vulnerabilidades (injeção, XSS, IDOR, SSRF, falhas de autenticação e controle de acesso).
- Capacidade de ler e revisar código, preferencialmente em JavaScript/TypeScript (Node.js).
- Vivência com ferramentas de teste de segurança, como Burp Suite, OWASP ZAP, Semgrep, SonarQube, Snyk ou similares.
- Experiência na integração de verificações de segurança em pipelines de CI/CD (ex.: GitHub Actions, jenkins).
- Conhecimento de protocolos e mecanismos de autenticação e autorização, como OAuth 2.0, OpenID Connect e JWT.
- Experiência com gestão de vulnerabilidades, incluindo triagem, priorização por criticidade e acompanhamento de correções.
- Boa comunicação para traduzir riscos técnicos em impacto para o negócio e construir parcerias com times de engenharia.
Você se destaca, se tiver:
- Experiência em ambientes cloud (AWS) incluindo segurança de containers e Kubernetes.
- Conhecimento em segurança de infraestrutura como código (Terraform).
- Experiência conduzindo threat modeling em arquiteturas de microsserviços.
- Certificações como OSCP, OSWE, CSSLP ou equivalentes.
- Conhecimento de frameworks e normas de conformidade, como LGPD, ISO 27001 e SOC 2.
- Experiência em empresas SaaS que lidam com grande volume de dados pessoais.
Localidade: Brasil