Analista de Segurança da Informação II - Yellow Team at GRUPO SBF

Descrição da Função:

Últimas informações de emprego de GRUPO SBF para o cargo de Analista de Segurança da Informação II - Yellow Team. If the Analista de Segurança da Informação II - Yellow Team vaga em Brasil corresponde às suas qualificações, submeta a sua candidatura ou CV atualizado diretamente através do portal Jobkos.

Tenha em atenção que candidatar-se a um emprego exige o cumprimento de requisitos da empresa. Esperamos que a oportunidade em GRUPO SBF para o cargo de Analista de Segurança da Informação II - Yellow Team abaixo seja adequada ao seu perfil.

Prazer, Grupo SBF

Para nós, esporte é mais que só a prática: é movimento. Ele tem o poder de mover as pessoas pelo exercício, pela paixão pelo time do coração, pela diversão de uma aula de dança, pela força de marcas icônicas. Por vermos a potência do esporte em todas as suas expressões, trabalhamos juntos com garra e energia para construir o primeiro ecossistema de esporte do mundo, reunindo diversas possibilidades para que as pessoas sejam envolvidas e impactadas pelo poder de se movimentar. Quando você pensar em esporte, pode ter certeza: o Grupo SBF estará ali. Seja por meio das lojas e do e-commerce da Centauro, a maior varejista esportiva multimarcas da América Latina; da Fisia, distribuidora oficial da Nike no Brasil, da FitDance e da OneFan, aqui o movimento não para. Praticante ou entusiasta, fã ou apaixonado: o Grupo SBF é pra você. Somos saudavelmente inconformados, fazedores e convictos da importância de levar o movimento para cada vez mais gente. Se você se move por esporte, ou é movido por ele, temos um convite: que tal também trabalhar por ele?

Ficou interessado(a)? Vem saber mais!

O que esperamos de você

Experiência como Application Security Engineer, com autonomia para conduzir threat models, revisões de design e gestão de vulnerabilidades de complexidade média sem supervisão direta, maturidade para escalar quando o problema exigir.

O que você vai fazer

• Conduzir threat modelings STRIDE como método primário; PASTA em iniciativas críticas e revisões de arquitetura em features novas e mudanças relevantes, com foco em sistemas de e-commerce, pagamentos, logística e integrações com parceiros.
• Operar e evoluir o stack de AppSec: SAST, DAST, SCA, IaC scanning e container security, integrados ao CI/CD, com gates calibrados para bloquear o que importa sem virar bloqueador universal.
• Triar, priorizar e acompanhar a remediação de vulnerabilidades originadas em scanners, pentest, bug bounty, garantindo aderência aos SLAs por severidade e reduzindo ativamente falso-positivo.
• Endurecer pipelines de CI/CD: proteção de runners, gestão de segredos, assinatura de artefatos, geração e validação de SBOM, alinhamento a SLSA.
• Atuar em segurança de APIs aplicando OWASP API Top 10, com ênfase em BOLA/IDOR, OAuth 2.0/OIDC, JWT, autorização granular, rate limiting e padrões de gateway.
• Apoiar a postura de Cloud Security (predominantemente GCP): revisão de IAM, KMS, Secrets Manager, exposição de buckets e endpoints, configuração de redes e leitura crítica de findings de CSPM.
• Revisar manifestos Kubernetes e Dockerfiles (RBAC, PSA, NetworkPolicies, hardening de imagem), revisar e escrever políticas como código (OPA/Rego, Checkov, Kyverno).
• Apoiar tecnicamente o programa de Security Champions com onboarding, sessões de aprofundamento e ativação real dos champions nos squads.
• Fazer code review com foco em segurança em PRs sensíveis (autenticação, autorização, pagamentos, criptografia, manipulação de dados pessoais), com comentários claros e didáticos.
• Atuar em incidentes aplicacionais como referência técnica: contexto, contenção, análise de root cause, fix e contribuição ao post-mortem.
• Traduzir requisitos de OWASP ASVS, SAMM, NIST SSDF, ISO/IEC 27001:2022, SOC 2, PCI-DSS v4 e LGPD em controles técnicos e evidências auditáveis.
• Automatizar tarefas repetitivas em Python, reduzindo o trabalho manual do time e dos squads atendidos.

Hard skills

• Codificação segura em pelo menos uma linguagem do nosso stack (Java/Kotlin, Node/TypeScript, Go ou Python), com fluência em OWASP Top 10 e API Top 10 aplicados em código.
• Domínio de threat modeling (STRIDE) e de princípios de design seguro: least privilege, defense in depth, fail-safe, secure defaults, Zero Trust.
• Vivência em DevSecOps: gates de SAST, DAST, SCA, IaC e container em CI/CD, com gestão de falso-positivo, baseline e exceções controladas.
• Conhecimento de segurança em Cloud GCP: IAM (políticas, condições, permission boundaries), KMS, Secrets Manager, exposição de Buckets e endpoints, leitura crítica de CSPM.
• Segurança em Kubernetes e containers: RBAC, Pod Security Admission, NetworkPolicies, hardening de Dockerfiles, scanners de imagem.
• Padrões de autenticação e autorização: OAuth 2.0/OIDC, JWT (incluindo pitfalls como alg confusion e algoritmo none), mTLS, ABAC/RBAC, mitigação de BOLA/IDOR.
• Criptografia aplicada: simétrica/assimétrica, AEAD, KDFs, assinatura digital, PKI; usa bibliotecas auditadas, não inventa primitiva.
• Policy-as-code (OPA/Rego, Conftest, Kyverno, Checkov) e proteção de supply chain (SBOM, assinatura de artefatos, SLSA).
• Operação de ferramentas AppSec: SAST, DAST, SCA, Container/IaC scanners.
• Automação em Python para integrar ferramentas, consumir APIs (Jira, GitHub, scanners) e gerar relatórios e dashboards.
• Familiaridade com OWASP ASVS, SAMM, NIST SSDF, ISO/IEC 27001:2022 Anexo A 8.x, SOC 2, PCI-DSS v4 e LGPD como vocabulário de técnico.

Soft skills

• Comunicação técnica: explica vulnerabilidades e soluções com clareza para públicos diversos (engenharia, SRE, arquitetura, produto), com comentários claros em vez de rótulos vagos.
• Comunicação executiva: traduz risco técnico em impacto de negócio; reporta status sem maquiar e sem alarmar.
• Capacidade analítica: decompõe problemas, distingue causa de sintoma, busca evidência antes de concluir.
• Influência sem autoridade: move decisões por argumento técnico, dado e empatia com o engenheiro.
• Colaboração: atua como parceiro dos squads, não como polícia; faz pareamento, oferece ajuda, compartilha contexto.
• Ownership: assume o problema até o desfecho, mesmo quando a execução depende de outros times.
• Priorização: sabe o que NÃO fazer; usa risco (probabilidade × impacto) como bússola, não a fila de chegada.
• Mentalidade orientada a risco: recusa controle desproporcional à ameaça.
• Pensamento sistêmico: vê o sistema, não só o componente; antecipa efeitos colaterais de uma mudança.
• Capacidade investigativa: vai ao código, ao log, ao trace; reproduz antes de concluir e alarmar.
• Tomada de decisão: decide com a informação que tem, no tempo que tem, documentando trade-offs e revertendo cedo quando erra.

Informação da Vaga:

• Empresa: GRUPO SBF
• Cargo: Analista de Segurança da Informação II - Yellow Team
• Local de Trabalho: Brasil
• País: BR

Como enviar a sua candidatura:

Após ler e compreender os critérios e requisitos mínimos explicados na informação da vaga Analista de Segurança da Informação II - Yellow Team at the office Brasil acima, prepare de imediato os documentos de candidatura, tais como carta de apresentação, CV, cópia do diploma e outros anexos. Envie através do link 'Próxima Página' abaixo.