Latest / Entre Chaves / #255 Carreira em cibersegurança: vagas sobrando, profissionais travados

Transcript

#255 Carreira em cibersegurança: vagas sobrando, profissionais travados · Entre Chaves

0:02
E está começando mais uma entre chaves, o seu podcast
0:06
desenvolvimento de software e a sua AFA.
0:08
E hoje a gente vai falar sobre cibersegurança, né?
0:11
Mas especificamente sobre o mercado de trabalho dessa área.
0:15
Que a gente pode dizer que vive um paradoxo, né?
0:18
Porque esse ano saiu um relatório da de uma empresa de
0:20
pesquisa, né, chamada Cyber security ventures, falando que
0:23
existem 3 pontos, 5000000 de vagas abertas, enquanto que por
0:28
outro lado, a gente vê um tanto de profissional querendo, né, em
0:31
busca ali da sua primeira oportunidade.
0:34
É então a gente se pergunta, né, o como que pode existir tanta
0:37
vaga em Cyber segurança se ninguém consegue ser contratado
0:41
é sem já ter experiência prévia, né?
0:44
Não faz sentido. E muitas vezes barrado aí, né,
0:46
por expectativas irreais, exigindo 3 a 5 anos de
0:51
experiência pra vagas de entradas de junho.
0:54
Então a ideia aqui hoje é a gente entender, né, o que que tá
0:56
acontecendo, esse apagão de talentos, mas principalmente,
1:00
como que a gente se prepara então, né, pra esse mercado que
1:03
é tão difícil, tão exigente de entrar e pra isso eu tô aqui com
1:06
o meu korhost Dantas, que também é ré de segurança aqui na dti.
1:10
Então vai agregar muito, né? E aí pessoal, tudo bem?
1:13
Kaid volta outra vez. Eu sou o Dantas atuando como
1:15
head Cyber segurança aqui na DD digital e agradeço o convite.
1:17
Rafa, é sempre bom falar sobre esse assunto.
1:19
Eu quero deixar claro que só tem 3 ponto 5000000 de vagas
1:21
abertas, porque eu só consigo culpar uma, tá?
1:23
Porque se não eu já tinha tomado todas.
1:26
Muito bom, e a gente está aqui com 2 convidados que são
1:29
engenheiros de cibersegurança aqui na DTI, que é o Lucas
1:32
Assunção Itália de Oliveira, bem vindos.
1:34
Muito obrigado. E aí, pessoal, boa tarde.
1:36
Tudo bem? E aí, pessoal?
1:37
Boa tarde. Tudo bem, eu sou o Tales.
1:39
E para começar, é como que vocês veem esse paradoxo, né?
1:42
É, existe realmente esse apagão de talentos na opinião de vocês,
1:47
ou existe alguma outra razão, né?
1:49
Por exemplo, eu citei esse essa questão das vagas e realistas,
1:52
então como vocês veem esse esse ponto?
1:55
Olha, é existe SIM 1 um gap de de skills que ele que ele
2:01
acontece e ele é meio crônico da cibersegurança, porque é uma
2:05
área que de certa forma, o acesso ao conhecimento e a
2:09
prática não é tão é difundido como na área de desenvolvimento,
2:14
por exemplo. São poucas pessoas hoje que tem
2:17
bastante tempo de área que tem. A prática mais desenvolvida e no
2:21
geral, essas pessoas não estão atuando como educadores da
2:25
prática, né? Estão atuando como profissionais
2:27
ativos mesmo da indústria. Então é de fato, você tem 111
2:32
demanda muito grande, porque o Cyber crime ele cresce e ele
2:36
fica cada vez mais complexo. Então você precisa de também uma
2:39
resposta que vai se adequar a essa complexidade de ataque,
2:43
apesar de você ter um grande número de profissionais com
2:45
interesse, né? E se preparando pra entrar.
2:48
É no mercado estes ainda não não estão no mesmo nível do que o as
2:53
grandes disputas assim, digamos, estão, sabe?
2:55
Eu concordo com o luquinhas, um ponto que eu tenho, a do senai,
2:58
que eu acho que é um meio a meio, sabe?
3:01
Tanto as vagas, elas existem umas experiências bem
3:06
extravagantes, por assim dizer, quanto existem muitos currículos
3:10
que não estão tão prontos assim, por ser um ambiente muito
3:12
nichado, né? A saber, segurança é um nome
3:15
muito comum, um nome famoso. Mas a forma como você busca o
3:18
conhecimento é bem escondida, sabe?
3:21
Então acaba que as pessoas acreditam que estão prontas pra
3:24
aplicar uma vaga sobre segurança, mas na verdade, elas
3:27
não têm um conhecimento necessário.
3:29
Assim como tem as vagas que pedem certificações que são
3:32
extremamente caras ou extremamente difíceis de se
3:35
tirar. Mas pra uma pessoa que tá
3:38
entrando na área, eles não fazem nem ideia do que é um secret
3:40
plus, por exemplo. Bom, eu acho que eu entendi, né,
3:42
pela resposta de vocês que. É muito difícil alcançar esses
3:47
requisitos, né? Não está dentro da das
3:49
universidades parte desse conhecimento.
3:51
Isso está muitas vezes é, é difícil de encontrar, existem
3:56
certificações específicas, cursos muito específicos.
3:59
Tem ainda aquele cenário que muitas vezes você precisa ser
4:02
mentorado por alguém, né? Que acontece que você mencionou
4:04
que foi seu caso, mas ainda assim eu queria talvez provocar
4:08
você sobre essa questão do paradoxo, porque ainda existem
4:10
muitas pessoas. Que de certa forma buscam o seu
4:14
conhecimento ali que estão tentando essas vagas de entrada
4:17
que supostamente deveriam exigir pouco ou nenhuma experiência,
4:21
né? A gente está falando de vagas de
4:22
estágio e vagas de Júnior, e muitas dessas vagas elas têm
4:25
expectativas irreais. E aí tentando, né?
4:28
Um Júnior com 5 anos de experiência.
4:30
E aí isso também traz um outro ponto na discussão, que muitas
4:33
empresas estão perdendo essa cultura de treinar os
4:36
profissionais, né? E eu queria entender, o que que
4:38
vocês acham disso, se vocês veem isso como um problema e como é
4:41
essas. Pessoas, né?
4:43
Com esse perfil Júnior, elas poderiam, né?
4:45
Ser estar competitivos no mercado de trabalho e conquistar
4:48
essa primeira vaga. É, existe um dito muito comum
4:52
assim nas discussões da área, né?
4:54
Que é que não existe estagiário ou pessoa Júnior em segurança.
4:58
É uma fala forte assim que eu discordo dela Na Na no pé da
5:02
letra, mas que eu vejo Oo porquê dela existir, né?
5:06
Porque se você pensar é que um profissional de segurança, ele
5:09
precisa conhecer de. De redes com uma certa
5:11
profundidade sobre banco de dados, sobre SQL, né?
5:15
Pra poder fazer 11 SQL injetion precisa conhecer front end
5:19
JavaScript, porque é a linguagem mais utilizada é no mundo em
5:24
sites, precisa conhecer da API, precisa conhecer de de firewall,
5:27
precisa conhecer de de proxy de servidor de cloud.
5:30
Ou seja, né AA chegou no terceiro item, aí vai chamar de
5:34
estagiário essa pessoa é só até sacanagem, né?
5:37
Sem falar que você precisa conhecer com uma certa
5:40
profundidade nesses assuntos pra.
5:42
Você só conhecer, né? É melhor você ter poucos
5:44
conhecimentos sólidos que muito conhecimentos.
5:46
Rasos. Mas isso é um é um problema que
5:49
não é só da área de cibersegurança, que é a as
5:53
empresas querem pessoas já formadas, já com experiência,
5:56
mas elas não querem formar nem dar experiência para as pessoas
5:59
que estão começando, né? Então esse é um problema que
6:02
acontece em diversas áreas, principalmente na
6:04
cibersegurança. Né?
6:06
Eu Acredito que as empresas elas elas devam sim.
6:10
Arriscar de de contratar pessoas com menos ou com nenhuma
6:14
experiência, né? É EE treinar essas pessoas
6:17
mesmo. Eu acho que falta um retorno a
6:20
essa cultura de treinamentos. Você acha que existem todas
6:22
essas vagas abertas? Então porque as por causa da
6:25
sensibilidade crítica que a área carrega?
6:28
É muito difícil contratar um estagiário, por exemplo, pra
6:30
colocar uma responsabilidade da segurança da minha aplicação na
6:34
mão dele. Então, pra resolver esse
6:36
problema, o que é engraçado dizer, né?
6:38
Meio paradoxal, mas a gente não deveria.
6:40
Então tem 3 ponto, 5000000 de vagas abertas.
6:43
Como a Rafa disse, nós não deveríamos então ter mais vagas
6:46
abertas pra dar espaço pra pessoas juniores serem treinadas
6:51
por pessoas seniores dentro dessas dentro das empresas?
6:54
Com certeza. Eu, eu acho que sim.
6:56
EE de fato tem necessidades que as que as empresas estão
7:00
detectando, né? Que são necessidades críticas.
7:04
Né? Então, a empresa se depara com
7:05
um alto número de ataques de de Hanson, por exemplo.
7:09
É, não vai ser um estagiário, não vai ser uma pessoa Júnior
7:11
que vai resolver esse esse problema numa empresa.
7:14
Mas talvez seja ele que dê apoio suficiente para o sênior
7:17
conseguir aplicar a resolução da forma correta, né?
7:21
E é. Ele que daqui 5 anos, 6 anos vai
7:23
estar atuando, é possivelmente nessa mesma empresa ou talvez em
7:27
outro, é outro mercado. Mas essa pessoa vai estar
7:30
resolvendo esses problemas, né? E só vai conseguir resolver se
7:33
ou tiver passado por essa situação ou tiver sido muito bem
7:36
treinado para essa situação. Né?
7:37
Mas eu acho que você você se tando.
7:39
Um ponto importante, né? De que pra você entrar na área,
7:42
já lhe são exigidos conhecimentos aprofundados em
7:46
outras áreas, né? De ti.
7:48
Então eu acho que o que você está me dizendo é que se eu sou
7:51
um desenvolvedor, é se eu sou um cara da Infra, se eu sou um
7:55
DevOps. Eu posso sim já ter uma bagagem
7:58
que me coloque ali à frente e que eu só vou ali me direcionar
8:02
minha formação pra uma especialização, para as
8:04
certificações, pros cursos que vocês comentaram, né?
8:07
Com certeza. EE pra quem está buscando, né?
8:10
Um emprego nessa área assim é, eu acho que são são habilidades
8:15
muito importantes que inclusive é se se fizer sentido.
8:20
Talvez vale a pena tentar outras experiências, né?
8:24
Diante da dificuldade de encontrar posições de entrada,
8:27
né? Nessa nessa área, é arriscar um
8:29
pouco numa área de desenvolvimento, numa área de de
8:32
infraestrutura, angariar esse conhecimento, né?
8:35
E ter já essa experiência, que não é só área que de saber
8:38
segurança que vai te dar, que é a experiência de de comunicação,
8:41
né? Que é a experiência de de lidar
8:43
com o cliente, de lidar entre áreas técnicas, áreas
8:47
executivas. Né, então essa experiência você
8:49
ganhou, outras é profissões também, né?
8:52
Então, talvez o caminho até uma atuação pleno sênior de
8:57
cibersegurança seja em outra área bem distinta.
8:59
É e só complementando o que o luquinha estava falando.
9:02
Realmente você ter um background em relação à programação é bem
9:06
interessante que nem eu falei. Não tem um caminho exato que vai
9:08
funcionar todo mundo. Então cada um vai conseguir
9:11
trilhar um caminho diferente. Obviamente, o mesmo caminho pode
9:14
funcionar pra várias pessoas. Mas não é ele que vai ser o
9:17
melhor, sabe? Então, realmente, se você saber
9:20
um pouco de código, você testar outras áreas, é algo que vai te
9:23
dar uma boa experiência. Mesmo que não seja relacionada à
9:26
cibersegurança, você ter o contato com o mercado, ele vai
9:29
te fortalecer pra conseguir entrar com as 2 portas nesse
9:33
mundo. É o exemplo palpável dessa
9:34
habilidade de desenvolvimento. É quando a gente acha uma
9:37
vulnerabilidade. É muito nítido o tester que tem
9:40
experiência com código, aquele que não tem.
9:42
Se você é desenvolvedor e você viu a vulnerabilidade, você
9:45
provavelmente sabe como que ela tá desenrolando por detrás dos
9:48
panos. E é muito mais fácil que você
9:50
ajude o outro desenvolvedor a explicar como corrigi la
9:54
enquanto um tester, né? Um pentester que não teve
9:56
experiência com código, ele vai precisar aprender de formas
10:00
genéricas como corrigir aquela vulnerabilidade.
10:02
Então esse é um exemplo muito, muito sólido, muito palpável de
10:05
como que é seu background de desenvolvedor.
10:07
Ele te ajuda diretamente no seu dia a dia dentro da
10:10
cibersegurança. É sobre.
10:12
Esse esse número, né grande de vagas, milhões de vagas abertas,
10:15
eu acho que também é. É legal a gente comentar sobre o
10:18
porquê que a área está expandindo tanto, né?
10:21
E aí, como provocação, né? Saiu um relatório da espunc, que
10:26
é uma empresa de cibersegurança é que revelou que 82% dos sisus
10:31
que agora respondem diretamente ao CEO e não mais ao cito.
10:36
Como já foi no passado. E aí, o siso, né?
10:38
Para quem não sabe, é um cargo cilevel que significa.
10:42
She of information. Cq, e aí?
10:44
Isso mostra que a segurança ela saiu do porão, né?
10:48
Saiu debaixo da asa? Né, pra lá pra sala de reunião,
10:51
né? E aí, quando a gente tem o siso
10:54
reportando diretamente ao CEO e não mais ao CTO, isso significa
10:59
que agora o problema de ti passou agora a ser 11, questão
11:04
estratégica para o negócio, né? E aí, naturalmente isso gera um
11:07
efeito cascata, porque se o cargo é se level agora tem maior
11:12
importância, então toda a estrutura de baixo dele cresce.
11:14
Então você vai ter mais budget, mais contratações, mais projetos
11:18
estratégicos, então equipes maiores é demanda por
11:22
especialistas. E aí?
11:23
Claro que não. Essa decisão não foi por acaso,
11:25
né? Não foi.
11:26
Simplesmente o CEO acordou e decidiu que o Sisu responderia a
11:29
ele. A gente sabe que existem
11:31
fatores, né, que contribuíram para essa alavancagem e que
11:34
justificam isso, ainda que. Gradual e aí, na visão de vocês,
11:39
quais são esses fatores? Eu acho que se pudesse resumir é
11:43
o meu ponto, seria a inteligência artificial, porque
11:46
a quantidade de fraquezas que o código possui, ela aumenta, né?
11:49
Que nem a gente comunicou várias vezes aqui.
11:51
OA vaib code é algo muito presente no dia a dia.
11:54
Isso é impossível de negar e ele é uma faca de 2 gumes.
11:56
Você saber programar um código e você conseguir interpretar OQIA
12:01
fez pra você, é algo muito bom, vai te levantar, alavancar
12:04
demais. Mas você não saber o que que
12:06
aquele código significa, o que que ele faz de verdade é aumenta
12:09
as superfícies de fraqueza do seu código que vai abrir portas
12:14
e portas para um atacante, por exemplo.
12:16
Então, um dos pontos que você pais realmente é inteligência
12:19
oficial, né? O mercado hoje em dia e a acho
12:22
que e tem a palavra do ano, se eu não me engano, que foi
12:24
inteligência. Artificial nós temos uma nova
12:25
categoria de vulnerabilidade, os novos termos, como xeroiai, nós
12:29
temos novos pontos de fraqueza dentro da da etapa do
12:32
desenvolvimento. Aí ela resume bem uma Nova Era
12:36
da cibersegurança que a gente vê nascendo.
12:38
Exatamente quando fala nos anos 2000, né?
12:41
Quando começou a área da internet da computação, a gente
12:43
entrou em contato com uma nova tecnologia e é a mesma coisa
12:46
acontecendo. A gente tá migrando a chave de
12:48
novo. A gente tava rodando a chavinha
12:50
e a gente tá entrando numa Nova Era de tecnologia.
12:53
É engraçado que os cientistas de ponta hoje eles comentam
12:56
exatamente isso, as vulnerabilidades que nós vemos
12:58
na IA. Hoje, elas lembram muitas
13:02
vulnerabilidades que nós vimos no início dos anos 2000 na
13:04
internet, são vulnerabilidades que te concedem danos
13:07
estratosféricos e muitas vezes sem precisar de nenhum tipo de
13:10
interação do usuário, que eu acho que.
13:12
Essa esse aumento da importância, digamos, de negócio
13:16
da cibersegurança, ela principalmente também uma
13:18
consequência da forma como pessoas se preocupam com seus
13:22
dados na internet. Né?
13:24
A gente teve Na Na última década uma série de de escândalos,
13:28
situações, né? Com a é Cambridge analítica, com
13:32
as eleições de 2016 dos Estados Unidos, é que realmente
13:35
chacoalhou nesse a forma como as pessoas viam seus dados na
13:39
internet. E eu acho que desde então, falar
13:43
de segurança é falar da qualidade do seu produto, né?
13:47
É falar do quão bem você você, você faz aquilo que você faz.
13:52
Né? Então, trazer OOO Sisu mais para
13:56
perto ali do CEO eu acho que traz a segurança para essa
14:00
conversa do negócio também, né? Ela deixa de ser um assunto
14:03
puramente técnico. Que era debaixo do CTO, né?
14:06
Que era puramente técnico. Era uma questão tecnológica e
14:09
agora passa a ser negócio? É.
14:11
Uma estratégia de negócio tanto é que OA tem muita coisa em jogo
14:16
no ataque, a reputação de uma empresa.
14:19
Né, a reputação daquela empresa em relação aos seus clientes
14:21
finais, em relação aos seus parceiros?
14:24
Tem a questão das legislações, que são os GDPR, né, LGPD, que
14:29
tem punições, né? Uhum é o que é uma resposta.
14:32
Justamente a forma como as pessoas passaram a ver, né?
14:34
Isso também. Então acho que tudo isso está
14:36
bem ligado também. E não só também em relação ao
14:39
dano que seria causado por um ataque, mas também empresas que
14:42
vendem software pode vender o serviço de segurança.
14:45
Então, a parte de segurança, ela virou algo negociável.
14:47
Mesmo você vender o serviço, vender o time de segurança para
14:51
fazer um penteste, uma aplicação, seja o web, o mular,
14:53
por exemplo, já é algo a se negociar.
14:55
Então acho que um fator que agrega a essa mudança.
14:59
E até um diferencial, né? Como, por exemplo, no modelo de
15:01
negócio da DTI que a gente possui time de segurança, a
15:04
gente possui Dantas como head de segurança, então.
15:07
É, a gente entendeu cedo que segurança era um fator de
15:09
qualidade do nosso produto, não negociável.
15:12
Assim como nós temos outros pilares, como design, engenharia
15:16
e por aí vai, a gente também entendeu que segurança fazia
15:18
parte desses processos intrínsecos ao próprio
15:21
desenvolvimento do código. Bom, antigamente, né?
15:24
O cara da da segurança era ali o mesmo cara da Infra, né?
15:28
Era tudo o mesmo papel. É que era os os Talos do cisa de
15:32
mim, né? Profissional que lidava com
15:34
redes, com servidores, com a Infra ali de uma organização.
15:37
E aí eu queria entender, né? O por que que é era tudo ali na
15:41
no mesmo profissional e por que que se dividiu, né?
15:44
E como que as habilidades desse profissional elas são
15:48
importantes para os para os papéis da segurança que a gente
15:51
tem hoje? Eu acho que isso diz muito
15:53
respeito à escala. Do do software, né?
15:56
E das empresas, naturalmente, pra uma startup, pra uma empresa
16:00
menor, é talvez esse papel ainda faça sentido, né?
16:04
Alguém mais Ceni, alguém mais especialista ali, que tenham
16:06
conhecimento de segurança e que tá atuando num produto que não
16:09
seja tão complexo, já é capaz ali de oferecer uma segurança
16:12
básica que que funciona. Mas quando você vai crescendo os
16:16
times, né, tendo cada vez mais produtos ali, é no seu escopo,
16:20
você aumenta sua área de cobertura, sua área de.
16:23
Sua superfície de ataque você aumentando sua superfície de
16:26
ataque, você aumenta a complexidade de defesa dessa
16:29
superfície. Aí deixa de ser só um problema
16:32
de firewall, por exemplo, né? E passa a ser um problema de
16:35
bloquenacs, por exemplo, na própria construção da sua
16:37
aplicação, você pode encontrar problemas de segurança e com o
16:40
tempo, né? A aí hoje vamos falar hoje em
16:42
dia da até do do novo hospital p Desk saiu esse ano?
16:46
Problema de supply chain, por exemplo, que não é simplesmente
16:49
o problema de na hora de construir o software.
16:52
É, é. São vulnerabilidades encontradas
16:54
na, no, nas bibliotecas, nas coisas que você importa.
16:57
Ou seja, é muita coisa pra você verificar, né?
17:00
Então uma pessoa só, ela é, não dá conta?
17:04
É, é tipo assim, não dá conta mesmo.
17:06
Então essa divisão ela nasce da necessidade de especialização,
17:09
né? Então o cis admin já tava com
17:11
trabalho. Demais, né?
17:12
Aumento da superfície de ataque também, né?
17:14
E eu? Acho que é 1111, reflexo que a
17:17
gente vê em várias áreas, né, Rafa?
17:18
Essa aí de essas subdivisões que vão acontecendo.
17:22
Assim como a gente viu na área de deve também, né?
17:24
Que antigamente você só tinha um programador e hoje tem
17:26
arquiteto, tem dados, tem pessoas responsáveis por
17:28
diferentes setores. Na área de dados também tem as
17:31
sub a subs, a sub divisão. E assim como é na área de
17:34
segurança, né? Eu ouvi dizer que você trouxe
17:36
até uma lista aí pra gente. Mas antes de falar, né, sobre os
17:39
principais cargos aí, né, pensando em 2026, eu queria que
17:43
vocês me dessem um Panorama geral assim, dos papéis de
17:47
segurança, porque pra. Para mim, é tudo engenheiro de
17:50
cibersegurança, eu não sei quais são as nuances aí.
17:53
É os papéis, eles são diversos, né?
17:55
Tem desde a camada de aplicação onde você tem uma pessoa
17:57
específica para realizar, seja um acesso entre o pintest
18:00
naquela região. Seria esse up up isso?
18:04
É que vai Red c em blue Tim. É também tem a parte do Red c em
18:08
blue Tim, né? Redisting?
18:09
Ele tá juntamente dessa parte de de pentesting e o blue Tim é
18:13
outro cara que tenta defender. É essas essas invasões que vão
18:16
acontecendo também tem áreas de cloud, infraestrutura de
18:20
firewall, um tanto de coisa. Assim, famoso deve ser que o?
18:23
Office, exatamente isso deve ser que o Office, então, assim, são
18:25
muitas áreas que você pode especializar.
18:27
Sabe? Bom, eu vi uma lista aqui, né,
18:29
que saiu de 5 cargos que vão dominar é em 2026 na área de
18:33
cibersegurança, segundo a ainer security, que é uma empresa de
18:36
certificação é, e ela citou aqui alguns dos papéis AI security
18:41
engineer. Cloud security engineer i
18:43
dentity security post tour management crowdsourceed Red
18:47
team, que vocês acabaram de citar, é mobile treatt and
18:51
analist. Isso está dentro aí do do que os
18:54
nomes são muito. Vamos vamos traduzir os nomes,
18:57
vamos traduzir os nomes. Eu acho que OA security
19:00
engineer. A gente já cansou de falar aqui,
19:02
né? Nos nossos episódios de a.
19:04
Se vocês não escutaram, voltem aí, que tem vários episódios
19:06
onde a gente fala sobre segurança em as e cito mais uma
19:09
vez o que eu disse nesses episódios.
19:11
A iae, ela introduz uma nova categoria de vulnerabilidades
19:15
que nós nunca lidamos antes, então é natural que nasçam novas
19:19
funções para lidar com isso. É, Eu Acredito.
19:21
Para quem tá entrando agora essa parte de iae, o mais
19:25
interessante, você está bem antenada, é, todo dia lança uma
19:28
IA nova, todo dia lança um modelo novo que já existe e cada
19:33
um está mais refinado do que o outro.
19:34
Então você está atento a essas mudanças.
19:37
É, é bem importante, né? Já comentaram em vários
19:39
episódios sobre AML, diversos ataques podem ser feitos com
19:43
utilizando OIA. Quem saiu na frente bebe agora
19:45
limpa, né? Exatamente.
19:46
Então é sempre interessante você estar à frente das atualizações
19:50
do mercado e o que para 2026 acredito que é o essencial é
19:54
você ter uma boa conexão com AIA.
19:55
Vem em primeiro lugar, né? Como a gente falou lá no começo
19:58
do episódio, é isso aumentou muito a superfície de ataque,
20:01
né? Quanto mais a IA, né?
20:02
Entra dentro dos processos assim, mais vulnerabilidades,
20:05
né? Vai se criando, porque agora a
20:07
IA, ela está executando ações, ela está tendo acesso a dados, é
20:12
e abre portas também pra governança de dados, que é um
20:15
assunto que a gente fala também que está relacionado com
20:17
segurança. No último episódio que eu
20:18
participei aqui, que foi sobre o Dora?
20:20
É pros nossos ouvintes, deve ter um mês mais ou menos que lançou
20:23
esse episódio. A gente comentou no dia da
20:25
gravação que o Google tinha acabado de anunciar o entegraver
20:29
a ideia que eles lançaram e na mesma semana já surgiu uma nova
20:33
notícia que o entegraver, ele era vulnerável a 11 prompt
20:37
injetion, né? E quando ele consumia ordens de
20:40
um local externo, então você colocava como uma tag meta
20:44
dentro do seu site um comando para IA e ela executava, né?
20:47
Quando ele IA lá consumir as ordens.
20:49
Ou seja, o leitor que acessava o site não via porque AA tag
20:52
estava escondida de texto, mas AA na hora de ler, sabia
20:55
exatamente o que que estava escrito ali.
20:57
Acabava executando, né? E agora, a identity security
21:00
post to management, até difícil de falar.
21:03
Esse é um bem específico, né assim, mas que Eu Acredito que
21:07
seja muito importante, principalmente em em grandes
21:11
organizações, onde você tenha uma grande quantidade de
21:14
colaboradores, né? Ou de stakeholders ali que vai
21:17
ser um profissional que vai estar responsável pela gestão de
21:20
identidades, né? Ou seja, quem está cadastrado,
21:24
né, naquele ambiente, quais permissões aquela pessoa vai
21:27
ter, né? Que que ela consegue fazer, que
21:29
que ela consegue acessar dentro do ambiente, e isso vai desde
21:34
arquivos, é sistemas, é locais físicos, né?
21:39
Tudo isso é depende da gestão de identidades, né?
21:43
E é muito. Muito importante, principalmente
21:45
falando de procnex, né? Que durante?
21:49
3 oaspes, né? 3 oaspes top.
21:51
Tem, né? É a vulnerabilidade uma das
21:53
principais, né? Isso um hospital tem.
21:56
Você lança a cada 4 anos, né? Então tem 12 anos que ele tá na
21:58
frente. Exatamente, então.
22:00
Assim, dessa forma, a gestão de identidades ela é crucial.
22:05
Então faz todo sentido que tenha uma pessoa, né?
22:08
Dedicada. A prestar atenção nisso, né?
22:10
E esse crowdsourcity redditing seria?
22:13
Eu acho que o crowd soft Reddit ele é interessante pra quando
22:17
você tem uma grande escala de aplicações e você não tem um
22:20
time de segurança capaz de lidar com aquilo.
22:22
Porque ele vai utilizar a ferramenta que é muito conhecida
22:25
no mundo da cibersegurança, que é o bugbout, onde você vai
22:28
recompensar pessoas por testarem as suas aplicações e acharem
22:31
vulnerabilidades. Então você vai fazer freelancers
22:34
entre aspas de vulnerabilidades e.
22:36
E as pessoas vão explorar para você enquanto você dá uma
22:38
recompensa. Para elas?
22:42
Eu eu sinto muita falta de ver conteúdo sobre a segurança
22:46
mobile. Eu sinto que ainda está muito
22:48
para trás, relacionado em contraste com aplicações web,
22:52
por exemplo, né? Mais tradicionais, sendo que o
22:56
dispositivo mobile todo mundo tem pelo menos um todo mundo
23:00
mesmo. Então é muito importante e é um
23:02
universo completamente diferente assim.
23:05
Não completamente, né? Mas tem suas peculiaridades ali
23:08
em relação a as aplicações web, que fazem ser um mundo por si
23:13
só. As ferramentas que a gente usa
23:15
para testar mobile são diferentes.
23:17
A forma como funciona grande parte dos protocolos, né?
23:20
São distintos. Então tem uma pessoa que se
23:23
especialize nisso, é muito bem-vindo, muito importante,
23:26
então faz. Sentido que esse cargo esteja
23:28
previsto para ser um dos altos cargos de 2026, creio.
23:31
Que sim, com certeza. Tem algum que não apareceu nesse
23:34
top 5 que vocês estranharam? Eu colocaria o cargo de apisec,
23:39
né? Que vai ser o profissional ali,
23:41
bem focado na parte de produto, na parte de aplicação, né?
23:46
Não é um trabalho que se aprofunda tanto nas profundezas
23:49
do hardware. Mas que consegue enxergar
23:53
vulnerabilidades ao longo da steck.
23:56
Então eu acho que é uma das profissões aí dentro da
23:59
cibersegurança. Que é função mais generalista em
24:02
relação a epsec, né assim? Então, agora movendo para outro
24:04
tópico, né, que é muito importante, que é saúde mental.
24:08
É, e eu vi alguns dados que eu eu achei assim, chocante que a
24:12
profissão de da Cyber security, né?
24:15
OOO profissional da Cyber security está no meio de uma
24:18
endemia de burnout. Assim eu fiquei é bem chocada.
24:22
E aí, tem alguns dados que foram coletados pela gartiner, né?
24:26
Que quase metade dos líderes de Cyber segurança.
24:31
Vão trocar de emprego? É em 2025 por conta de estresse
24:35
relacionado ao trabalho e mais de 2/3 é dos profissionais
24:39
colocando o seu, o seu papel ali como muito mais estressante do
24:44
que era há 5 anos atrás. E eu queria entender o porquê
24:47
que isso é algo que está é intrinsecamente relacionado à
24:51
profissão de Cyber security. É, vocês pensaram que essas
24:55
milhões de vagas não estavam sendo feitas por alguém?
24:58
Então assim? Tem alguém fazendo grande parte
25:01
desse trabalho que que não tá preenchido, né?
25:05
E que no geral são é as pessoas seniores, né?
25:08
Essa falta né, de de profissionais qualificados pra
25:12
fazer os trabalhos. Coloca uma pressão de quem é
25:15
qualificado, né? E quem já está atuando com o
25:18
Cyber security, né? Quem é qualificado e já
25:20
conquistou uma vaga e já está atuando?
25:22
Faz sentido, né? Se tem muitas vagas abertas e
25:26
tem pessoas que trabalham com isso efetivamente, é natural que
25:28
elas estejam de alguma forma sobrecarregadas.
25:31
Além de da sobrecarga natural, como você mencionou, pelo
25:34
quantidade de vagas aberta, a gente tem uma sobrecarga de
25:37
responsabilidades, porque quando você é um desenvolvedor e você
25:42
faz o deploy de algum tipo de bug na aplicação.
25:45
Claro que é chato, é ruim, é triste.
25:47
Às vezes esse bug vai causar algum dano, às vezes o dano vai
25:50
ser mínimo, às vezes ele pode ser muito grande.
25:52
Você pode perder o final de semana, só que quando você é da
25:54
cibersegurança e você sofre algum tipo de ataque, você
25:59
perdeu o jogo, que eu costumo falar que cibersegurança é uma
26:01
partida de futebol muito injusta.
26:03
Você pode fazer 1000000 de gols no seu adversário, se você tomar
26:06
um único gol, acabou, você perdeu o jogo, então não importa
26:11
quantas vezes você acerte. Só basta uma única falha para
26:15
que você perca todo o seu progresso.
26:17
Temos notícias de empresas que sofreram ataques wensure, por
26:21
exemplo, que criptografaram toda a sua estrutura de servidores e
26:24
backups e perderam milhões na tentativa de recuperação.
26:28
Muitas delas vão até próxima falência e algumas infelizmente
26:32
não conseguem nem se recuperar. Então, o grande problema do
26:35
burnout ele está atrelado a esses 2 fatores?
26:38
Na minha visão, a sobrecarga de funções.
26:42
Que estão sendo centralizadas em poucas pessoas executoras e do
26:46
outro lado, uma grande responsabilidade, onde você
26:49
precisa assumir os maiores riscos de uma empresa e muitas
26:53
vezes assumir uma culpa que nem tinha como você acabar se
26:56
precavendo. E a criticidade, né, é?
27:00
Uma estrutura inteira que está no seu.
27:02
Colo é às vezes. Milhões de clientes.
27:04
Que vão ser afetados por por uma falha?
27:07
E não só essa essa responsabilidade enorme que você
27:11
tem no seu colo, que é um grande fator pro pro burnout, mas
27:14
também com o passar do tempo. A gente não tinha muitas
27:17
mudanças na tecnologia hoje em dia, porque nem a gente comentou
27:20
no começo do episódio. Todo dia sai 11 IA 9.
27:23
Então você tem que estar sempre antenado.
27:25
As informações que lança, então você tem, você não pode largar
27:28
saber segurança por 1 dia, por exemplo, você larga por 1 dia,
27:30
lança uma cve de nível crítico de uma aplicação que todo mundo
27:34
usa. Então é algo que te prega de
27:36
surpresa e você está sempre acordado e não tem um momento de
27:38
relaxamento? Principalmente com aia, né?
27:40
Exatamente, e você e você tendo essas 33 fatores no seu colo,
27:44
pesa muito no seu serviço? Uau, acho que é isso então, né,
27:47
pessoal? Entendemos aqui um pouquinho
27:49
sobre quais são as principais Barreiras de entrada do mercado
27:51
de trabalho de cibersegurança. Alguns pontos que podem ajudar a
27:55
gente a entrar do zero ou fazer a transição de carreira já
27:58
dentro da área de ti. Entendemos como que dá essa
28:01
divisão e algumas das expectativas para o ano que vem.
28:04
E por fim, ainda falamos de um lado um pouco mais obscuro da
28:07
cibersegurança também, que é o lado da saúde mental e com isso,
28:11
acho que encerramos mais um Belo episódio.
28:12
Rafa. É isso, obrigada pela
28:15
participação e até a próxima. Valeu pessoal, tchau, tchau.
28:18
Até mais. Alô, galera.