Staff Cybersecurity Engineer

Descrição

**Incentivamos e priorizamos candidaturas de mulheres, pessoas negras,** **pessoas com deficiência e LGBTQIA\+** **Sobre a posição** ------------------- A ImpulsoGov é uma organização sem fins lucrativos que usa tecnologia e dados para fortalecer a atenção primária do SUS, apoiando municípios em todo o Brasil. Processamos dados sensíveis de saúde de milhões de pessoas, e proteger esses dados é parte central da nossa responsabilidade institucional. Esta será a primeira posição dedicada exclusivamente à segurança da informação na ImpulsoGov. Buscamos uma pessoa sênior, hands\-on e com alta autonomia para estruturar, executar e evoluir os fundamentos de cibersegurança da organização. É uma posição de liderança técnica individual, com atuação transversal junto à liderança de Tecnologia, Engenharia, Dados, Produto e Gestão Interna. A pessoa contratada terá mandato para priorizar riscos, propor controles, operar ferramentas e apoiar a construção de uma cultura de segurança pragmática, proporcional ao nosso contexto e orientada ao impacto. **Responsabilidades** --------------------- A pessoa será responsável por estruturar e executar a agenda de segurança da ImpulsoGov, com foco nos seguintes pilares: ### **1\. Cloud, infraestrutura e acessos** * Revisar e evoluir a postura de segurança da infraestrutura em Google Cloud. * Apoiar decisões de arquitetura segura desde a concepção, incluindo IAM, redes, isolamento, secrets, chaves, logs e hardening. * Revisar privilégios, contas críticas, acessos administrativos e exposição de ambientes sensíveis. * Implementar práticas de menor privilégio, MFA, segregação de funções e revisão periódica de acessos. ### **2\. Dispositivos, identidade e ferramentas internas** * Implantar e operar a gestão de dispositivos da equipe, incluindo MDM, políticas de configuração e inventário. * Avaliar, configurar e operar ferramentas como EDR, VPN, soluções de AppSec, gestão de segredos e monitoramento de segurança. * Estruturar processos simples e sustentáveis para onboarding, offboarding e controle de acessos. ### **3\. DevSecOps e segurança de aplicações** * Evoluir o ciclo de desenvolvimento com práticas de segurança shift\-left. * Implementar ou aprimorar SAST, DAST, SCA, análise de dependências, gestão de segredos e segurança em CI/CD. * Apoiar a estratégia de abertura de repositórios no GitHub, garantindo que código, histórico, secrets e dependências estejam seguros antes da publicação. * Trabalhar com Engenharia e Produto para transformar segurança em parte natural do desenvolvimento (DevSecOps), sem criar burocracia desnecessária. ### **4\. Governança, risco e resposta a incidentes** * Conduzir diagnósticos e autoavaliações com base em frameworks reconhecidos, como CIS Controls, NIST CSF, OWASP SAMM e ISO 27001\. * Priorizar riscos de segurança considerando impacto, probabilidade, esforço e contexto da organização. * Estruturar controles práticos para apoiar conformidade com LGPD e proteção de dados pessoais sensíveis. * Criar playbooks básicos de resposta a incidentes, fluxos de comunicação, critérios de severidade e rotinas de aprendizado. * Coordenar pentests, avaliações externas e relacionamento com fornecedores de segurança. **Pré\-requisitos** ------------------- * Experiência prática e sênior em segurança da informação, segurança de cloud, AppSec, DevSecOps, identidade/acessos ou infraestrutura. * Capacidade de atuar com autonomia em uma estrutura enxuta, priorizando pelo risco e pelo impacto. * Conhecimento sólido em cloud security, idealmente em Google Cloud. * Experiência com IAM, MFA, menor privilégio, contas privilegiadas e gestão de acessos. * Vivência com práticas de DevSecOps, como SAST, DAST, SCA, secrets management, hardening de pipelines ou segurança de dependências. * Disposição para executar trabalho operacional, configurar ferramentas, documentar processos e acompanhar a implementação até o fim. * Boa comunicação para traduzir riscos técnicos em decisões claras para públicos técnicos e não técnicos. **Diferenciais** ---------------- * Ter sido a primeira pessoa de segurança de uma organização ou ter estruturado uma função de segurança do zero. * Experiência com dados pessoais sensíveis, dados de saúde, LGPD ou ambientes regulados. * Experiência com CIS Controls, NIST CSF, ISO 27001, OWASP SAMM ou OWASP ASVS. * Experiência com MDM, EDR, SIEM, CSPM, CNAPP ou ferramentas de AppSec. * Experiência conduzindo ou contratando pentests. * Certificações como CISSP, CCSP, OSCP, Google Professional Cloud Security Engineer, Security\+ ou equivalentes. * Experiência prévia no terceiro setor, saúde pública, governo ou projetos de impacto social. * Inglês intermediário ou avançado. **Etapas do processo seletivo** ------------------------------- * Análise de currículo; * Desafio técnico; * Entrevista com a equipe de Pessoas e Cultura; * Entrevista técnica; * Entrevista final. **Sobre a vaga** ---------------- * **Remuneração:** Compatível com o mercado * **Benefícios:** + Período Sem Entregas \- 20 dias úteis para você tirar sem entregas durante o ano (sendo proporcional ao período do contrato); + WellHub (antigo Gympass); + Zenklub \- com duas sessões mensais pagas pela ImpulsoGov direto na plataforma; + Convênio de Saúde Alice ou voucher de saúde para contratação do seu convênio de preferência; + Aulas de inglês pela plataforma Cambly + Crédito de 880 reais no cartão Caju; + Período de licença parental \- 88 dias úteis de ausência do trabalho para novas mamães e papais; + Auxílio de Equipamentos de HomeOffice; + Notebook alugado pela ImpulsoGov. + Day Off aniversário. + Emenda de todos os feriados, seguindo o calendario de São Paulo. + Disponibilização do Claude (ferramenta de IA) para otimização dos seus processos de trabalho. * **Regime de contratação:** PJ * **Dedicação:** 40 horas semanais com grade horária flexível. * **Formato:** Remoto. + É necessário disponibilidade 2x ao ano para imersão presencial em São Paulo e offsites esporádicos. + É necessário disponibilidade para on\-call ou situações emergenciais. **Qualquer dúvida, escreva para leticia@impulsogov.org**