Analista de Segurança DevSecOps e Gestão de Vulnerabilidade Pleno

🌍 Remoto📍 Remoto

Descrição da Vaga

A Riachuelo está em busca de um Analista de Segurança da Informação Pleno para atuar na equipe de TI, com foco em DevSecOps e Gestão de Vulnerabilidades. O profissional será responsável por implementar e manter controles de segurança em pipelines do Azure DevOps, utilizando ferramentas como Snyk e Semgrep, além de conduzir o ciclo completo de gestão de vulnerabilidades.

Responsabilidades

Implementar e manter controles de segurança (SAST, DAST, SCA, secret scanning e IaC scanning) nos pipelines do Azure DevOps, utilizando ferramentas como Snyk e Semgrep.
Configurar, ajustar e criar regras customizadas no Semgrep, reduzindo falsos positivos e adaptando as análises ao contexto dos times.
Conduzir o ciclo de gestão de vulnerabilidades: identificação, priorização por risco, acompanhamento da correção e reporte de métricas (SLAs, backlog, MTTR).
Analisar e tratar vulnerabilidades em aplicações, containers, infraestrutura em nuvem e dependências, com apoio do Snyk na gestão de bibliotecas e imagens.
Apoiar os times de desenvolvimento com orientações de correção e boas práticas de desenvolvimento seguro.
Participar de revisões de arquitetura e threat modeling.
Contribuir com políticas, padrões e processos de segurança.

Requisitos

✓Ensino Superior Completo.
✓Experiência prática com DevSecOps e pipelines de CI/CD no Azure DevOps.
✓Vivência com Snyk e Semgrep, incluindo integração em pipelines e triagem de findings.
✓Experiência em gestão de vulnerabilidades, com priorização por risco usando CVSS e acompanhamento de correção junto aos times.
✓Conhecimento em segurança de ambientes cloud (AWS, Azure ou GCP) e containers/Kubernetes.
✓Familiaridade com OWASP Top 10 e boa comunicação para atuar com times técnicos e reportar riscos à gestão.
•Experiência com outras plataformas de CI/CD (GitLab CI, GitHub Actions ou Jenkins).
•Experiência com outras ferramentas de análise de vulnerabilidades (Tenable, Qualys, SonarQube, Trivy).
•Conhecimento de frameworks como MITRE ATT&CK.
•Autonomia para conduzir demandas e priorizar atividades.
•Certificações como Security+, CEH, CSSLP, AZ-500, AWS Security Specialty ou similares.
•Conhecimento em Infrastructure as Code (Terraform, Bicep, CloudFormation).
•Experiência com scripting (Python, Bash, PowerShell) para automação.
•Experiência na criação de regras customizadas e automações com Semgrep e Snyk.
•Conhecimento de normas e frameworks como ISO 27001, NIST e LGPD.