Engenheiro(a) de Segurança em Nuvem

Cross-Account Access

Por quê: Você desenha o modelo de confiança entre dezenas de contas, limitando cadeias de assume-role e raio de impacto para que uma conta comprometida não alcance as demais.

Service Control Policies (SCPs)

Por quê: Você escreve uma SCP ou política de organização que impede desativar o CloudTrail ou usar regiões não aprovadas em todas as contas e a implanta sem parar o trabalho legítimo.

Encryption at Rest & Transit

Por quê: Você define a hierarquia de chaves e a política de rotação da organização, separando quem administra de quem usa as chaves, e atende a um requisito de HSM ou TLS mútuo.

VPC Security Architecture

Por quê: Você desenha uma VPC com subnets privadas, endpoints e análise de flow logs para que cargas acessem serviços da AWS sem passar pela internet e a exfiltração de dados fique visível.

Security Hub / Defender / SCC

Por quê: Você agrega achados de todas as contas em uma visão de administrador delegado, define o score de postura que o negócio acompanha e decide quais controles são obrigatórios.

Misconfiguration Detection

Por quê: Você constrói as camadas preventiva e detectiva juntas, de modo que scans de IaC bloqueiem novo desvio enquanto Config e Prowler peguem mudanças feitas à mão no console.

Image Scanning & Hardening

Por quê: Você define uma política de imagens para toda a organização, como imagens base aprovadas e um limite de reprovação, e trata as exceções pedidas por times com cargas legadas.

Runtime Security (Falco/Sysdig)

Por quê: Você implanta detecção em runtime em vários clusters e decide como os alertas alimentam a resposta a incidentes, para que uma tentativa de escape de container chegue a uma pessoa em minutos.

CloudTrail / Activity Log Analysis

Por quê: Você centraliza logs de auditoria em uma conta protegida com regras de retenção e monta as consultas que reconstroem o caminho de um invasor entre contas durante uma investigação.

Threat Detection (GuardDuty/Sentinel)

Por quê: Você decide quais detecções ativar e como encaminhá-las, e escreve o playbook de resposta para uma instância comprometida para que o plantão aja de forma consistente.

Compliance as Code

Por quê: Você constrói a biblioteca de políticas compartilhada que todos os times consomem no CI/CD, com um processo claro de exceção, para que a conformidade seja aplicada do mesmo jeito em todo lugar.

SOC 2 / HIPAA / PCI-DSS Automation

Por quê: Você mapeia controles para requisitos de SOC 2, HIPAA ou PCI-DSS e automatiza a coleta de evidências, de modo que o pedido de um auditor seja respondido com relatórios, e não com capturas de tela.