Na Nexxera, você fará parte de um time que conecta tecnologia, negócios e o mercado financeiro, contribuindo para soluções que aproximam empresas, instituições e ecossistemas.
Nesta posição, terá a oportunidade de atuar na execução, análise e evolução contínua dos testes de segurança das aplicações. A posição terá foco na integração de controles ao CI/CD, revisão de resultados de SAST, DAST, SCA, IaC e secret scanning, validação de falsos positivos, acompanhamento de correções e apresentação de indicadores e recomendações para Segurança da Informação e Engenharia de Software.
Buscamos uma pessoa para atuar como Analista de Seg da Informação - DevSecOps e Gestão de Vulnerabilidades, que entenda que o foco da posição não é apenas executar ferramentas ou emitir relatórios: e sim, garantir qualidade, cobertura, rastreabilidade e evolução contínua do processo de testes de segurança ao longo do ciclo de desenvolvimento, goste de desafio e queira desenvolver sua carreira em um ambiente que valoriza protagonismo, autoliderança, colaboração e aprendizado.
No dia a dia, você vai:
Executar, acompanhar e aprimorar verificações de segurança no ciclo de CI/CD das aplicações, utilizando o GitLab e ferramentas complementares, quando necessário.
Operar e revisar resultados de SAST (análise estática de código), DAST (testes dinâmicos de aplicações), SCA (análise de dependências e componentes), IaC Security (análise de infraestrutura como código) e secret scanning (identificação de segredos expostos).
Planejar a cobertura dos testes por aplicação e repositório, identificar lacunas e manter uma visão consolidada do nível de cobertura e dos resultados.
Analisar relatórios e achados tecnicamente, validar falsos positivos, identificar duplicidades e contextualizar a severidade e a possibilidade de exploração.
Apoiar a priorização de vulnerabilidades considerando criticidade técnica, exposição, impacto para o negócio, contexto da aplicação e possibilidade de exploração.
Registrar e acompanhar vulnerabilidades e planos de correção junto às equipes responsáveis, garantindo responsáveis, prazos, evidências e retestes quando aplicável.
Trabalhar com Engenharia de Software para melhorar a qualidade dos testes, ajustar regras, reduzir ruído e integrar os resultados aos fluxos de trabalho existentes.
Definir, documentar e evoluir critérios de tratamento e escalonamento, incluindo condições para alertar ou bloquear pipelines/releases conforme risco e regras aprovadas.
Acompanhar atualizações de ferramentas, regras, assinaturas, bases de vulnerabilidades e configurações, verificando o impacto das mudanças na cobertura e na qualidade dos resultados.
Elaborar indicadores e relatórios executivos e técnicos sobre vulnerabilidades por severidade, cobertura de aplicações, tempo de correção, reincidência, falsos positivos e evolução dos controles.
Apresentar resultados e recomendações à coordenação/gestão de Segurança da Informação e às equipes de Engenharia de Software, adaptando a linguagem ao público.
Manter procedimentos, evidências e trilhas de auditoria que demonstrem a execução e o acompanhamento dos controles de segurança do desenvolvimento.
Contribuir para a evolução do Secure Software Development Lifecycle (SSDLC), padrões de desenvolvimento seguro e práticas de melhoria contínua.
O que esperamos de você:
Inventário atualizado das aplicações/repositórios no escopo e visão de cobertura por tipo de teste.
Rotina consistente de execução, revisão e acompanhamento dos resultados de SAST, DAST, SCA, IaC e secret scanning.
Processo documentado para triagem, validação de falsos positivos, classificação, priorização, escalonamen
Fonte: tagguirh
