Engenheiro de Segurança DevOps

Descrição

Resumo: Esta vaga é para um engenheiro altamente qualificado que será exclusivamente responsável pela segurança e pela garantia de qualidade de uma plataforma que gerencia centenas de milhões em ativos digitais, com foco em identificar falhas para torná-la mais robusta. Pontos de destaque: 1. Responsável pela postura de segurança e resposta a incidentes em todos os produtos 2. Projeta e implementa estratégias abrangentes de testes 3. Oportunidade de contribuir com desenvolvimento fullstack com mentalidade voltada prioritariamente à segurança Sobre a Legacy A Legacy é uma carteira Web3 não custodial, fácil de usar, projetada para proteger ativos digitais por meio de proteção a beneficiários e acesso perfeito ao DeFi. Os usuários podem realizar trocas entre blockchains, obter rendimentos com um único clique e proteger riquezas para a próxima geração. A Legacy é desenvolvida pela equipe por trás da Decentralized Masters — um ecossistema lucrativo de educação e investimento, com faturamento superior a 50 milhões de dólares, e mais de 4.000 investidores de alto patrimônio líquido. Já lançamos nosso produto. A demanda é forte. Agora precisamos de alguém para gerenciar a jornada do cliente após a aquisição e transformar usuários em assinantes de longo prazo, com alto valor vitalício (LTV). Sobre a Divisão de Software Estamos construindo um portfólio de produtos de software dentro do ecossistema Decentralized Masters, incluindo: * Carteira Legacy – uma carteira Web3 não custodial com proteção a beneficiários e acesso perfeito ao DeFi * Bot de Negociação – ferramentas automatizadas de execução cripto para investidores sérios * Futuras ferramentas de infraestrutura financeira e para investidores Atualmente, estamos desenvolvendo o mecanismo de retenção e ciclo de vida que impulsionará receita recorrente de longo prazo em todos os produtos. Sobre a Vaga Você será a única pessoa responsável pela segurança de uma plataforma que rastreia centenas de milhões em ativos digitais. Esse é o seu papel. Tudo o mais é secundário. Precisamos de alguém que, profissionalmente, quebre sistemas. Alguém que olhe para uma página de login e identifique seis vetores de ataque. Alguém que leia uma solicitação de pull e detecte a vulnerabilidade de injeção que dois desenvolvedores sênior deixaram passar. Alguém que fique acordado à noite pensando na campanha de phishing que ainda não foi inventada. Se isso soa exaustivo, essa não é sua vaga. Se isso soa como uma terça-feira comum, continue lendo. Suas principais responsabilidades são segurança e garantia de qualidade. Você é responsável por testes de penetração, avaliações de vulnerabilidades, modelagem de ameaças, frameworks automatizados de testes e gates de qualidade em CI em todos os produtos que lançamos. Você também é responsável pela infraestrutura: AWS, pipelines CI/CD, monitoramento e resposta a incidentes. E, como somos uma equipe pequena e experiente, você escreverá código em produção assim que suas responsabilidades de segurança e QA estiverem cobertas. Você não é um consultor nem um auditor que apenas marca itens em uma lista. Você é um engenheiro que entrega soluções, cujo código torna tudo o mais difícil de ser comprometido. O candidato ideal já trabalhou em grandes empresas fintech e de criptomoedas orientadas a produtos, onde uma única falha de segurança pode destruir a confiança dos usuários da noite para o dia. O Que Você Gerenciará Segurança (Principal) * Responsável pela postura de segurança em todos os produtos: Legacy, Bot de Negociação e plataformas futuras. Se algo for violado, é seu problema. Se nada for violado, é graças ao seu trabalho. * Realiza testes de penetração regulares, avaliações de vulnerabilidades e modelagem de ameaças alinhados às normas e metodologias OWASP * Garante cobertura completa da OWASP Top 10 nos testes de segurança de aplicações, revisões de código e verificações de implantação * Realiza revisões de código com foco em segurança em código frontend, backend e de infraestrutura, identificando problemas que revisões de código padrão deixam passar * Implementa e gerencia soluções de gerenciamento de segredos (Vault, AWS Secrets Manager ou KMS), controles de acesso e políticas de privilégio mínimo * Cria e mantém playbooks de resposta a incidentes. Quando algo falhar, você lidera a resposta, conduz a análise pós-morte e entrega a correção * Antecipa vetores de ataque específicos do Web3 e das criptomoedas: campanhas de phishing, explorações de carteiras, comprometimento de chaves de API, ataques à cadeia de suprimentos e engenharia social * Gerencia e coordena auditorias externas de segurança e testes de penetração realizados por empresas terceirizadas Garantia de Qualidade e Testes (Principal) * Projeta e implementa estratégias de testes em todos os produtos: testes unitários, testes de integração, testes extremo-a-extremo (end-to-end), testes de API e suítes de regressão * Constrói e mantém frameworks automatizados de testes e gates de qualidade em CI que evitam que código defeituoso chegue à produção * Define e acompanha métricas de qualidade: cobertura de testes, taxa de instabilidade (flakiness), latência na detecção de regressões e taxa de bugs que escapam para produção * Escreve e executa casos de teste de segurança: fluxos de autenticação, controles de autorização, validação de entradas, cenários de abuso de API e casos extremos envolvendo dados financeiros * Realiza testes white-box e black-box, aproveitando o acesso completo ao código-fonte para identificar problemas que testes de QA superficiais não detectariam * Realiza testes em toda a pilha tecnológica: interface frontend, APIs backend, consultas de banco de dados, integrações com terceiros e interações on-chain Infraestrutura e DevOps (Fundamental) * Mantém e melhora a infraestrutura em nuvem na AWS usando Infraestrutura como Código (Terraform ou CloudFormation) * É responsável pelos pipelines CI/CD (preferencialmente GitHub Actions): testes automatizados, varreduras de segurança, linting e implantação * Reforça a infraestrutura: segurança de rede, políticas IAM, segurança de contêineres e isolamento de ambientes * Implementa registro de logs, monitoramento e alertas em todos os serviços (CloudWatch, Prometheus, Grafana ou equivalente) * Garante trilhas de auditoria para ações de usuários, alterações no sistema e eventos de acesso * Gerencia confiabilidade em produção, resposta a incidentes e otimização de custos Desenvolvimento Fullstack (Quando a fortaleza estiver segura) * Contribui com código em produção tanto no frontend quanto no backend, aplicando sempre uma mentalidade voltada prioritariamente à segurança em cada funcionalidade desenvolvida * Desenvolve funcionalidades, corrige bugs e lança melhorias junto à equipe de engenharia * Cada linha escrita deve tornar o produto melhor e mais difícil de ser comprometido: validação de entradas, tratamento de erros, autenticação e proteção de dados por padrão * Participa de discussões arquiteturais e revisões de código, defendendo testabilidade, confiabilidade e segurança em todas as decisões **Requisitos** O Que Você Oferece Obrigatórios * 5+ anos em cargos de engenharia de software com experiência prática significativa em segurança e garantia de qualidade. Verificaremos isso. Se sua experiência em segurança for teórica, esta não é a vaga certa. * Experiência em desenvolvimento fullstack: você consegue construir e lançar funcionalidades tanto no frontend (React ou equivalente) quanto no backend (Node.js, Python, Go ou equivalente) * Experiência prática em testes de penetração e avaliações de vulnerabilidades em aplicações web, APIs e infraestrutura em nuvem * Conhecimento sólido das normas OWASP, incluindo a OWASP Top 10, o OWASP Testing Guide e as práticas seguras de codificação OWASP * Experiência na construção de frameworks automatizados de testes e na integração de testes em pipelines CI/CD * Expertise em AWS (EC2, ECS/EKS, Lambda, VPC, IAM, S3, RDS, CloudFront, WAF) * Experiência com Infraestrutura como Código (Terraform, CloudFormation ou Pulumi) * Tecnologias de contêineres: Docker e Kubernetes em ambientes de produção * Proficiência em scripts e automação em Bash e Python * Experiência com ferramentas de gerenciamento de segredos (HashiCorp Vault, AWS Secrets Manager ou similares) * Familiaridade com ferramentas de segurança e testes (Burp Suite, OWASP ZAP, Selenium, Cypress, Jest, Postman ou equivalentes) * Excelentes habilidades de comunicação: você consegue explicar claramente riscos de segurança e tradeoffs de qualidade para partes interessadas não técnicas Desejáveis * Certificações de segurança: OSCP, CISSP, CompTIA Security+, AWS Security Specialty ou equivalentes * Experiência em empresas de produtos de criptomoedas, DeFi, Web3 ou fintech (Coinbase, Phantom, Stripe, Casa, MetaMask, Zerion, Ramp ou similares) * Familiaridade com preocupações específicas de segurança do Web3: segurança de carteiras, gerenciamento de chaves, monitoramento on-chain, mitigação de phishing * Formação como SDET ou experiência em funções híbridas de desenvolvimento e teste * Experiência em testes de sistemas financeiros: fluxos de pagamento, integridade de ledger, prevenção de dupla despesa ou monitoramento de transações * Experiência na implementação de arquiteturas de zero trust * Participação em programas de bug bounty, publicações de CVE ou contribuições para ferramentas de segurança de código aberto **Benefícios** O Que Oferecemos* Salário competitivo + incentivos baseados em desempenho vinculados à retenção e à melhoria do LTV * Contato direto com os fundadores * Encontros presenciais da equipe * Trabalho remoto * Função com alta autonomia e alto impacto