Além dos Papéis que Todo Mundo Conhece
Se você já procurou vagas em cibersegurança e sentiu que nenhuma delas combinava com o seu perfil, talvez o problema seja a lista — e não você. A maioria dos guias de carreira da área cobre sempre os mesmos papéis: o analista monitorando alertas ou o pen tester (testador de penetração, profissional contratado para tentar invadir sistemas de forma legal e identificar vulnerabilidades). Essas funções existem e são importantes, mas representam uma fatia pequena de um campo muito mais amplo.
O blog de segurança da AWS publicou a segunda parte de uma série sobre trajetórias reais na área. Na primeira parte, três pessoas contaram como chegaram à segurança partindo de lugares inusitados — um armazém logístico, uma mesa de marketing e o quarto de um adolescente. Agora, a série mostra onde essas jornadas podem chegar: medir o risco de um milhão de aplicações ao mesmo tempo, construir ferramentas de detecção a partir do setor de atendimento ao cliente, e pensar seriamente em como proteger infraestrutura lançada ao espaço.
A Árvore de Habilidades: A Abordagem de Jason Lane
Jason Lane, Engenheiro de Segurança, planeja a carreira como quem monta um personagem em um RPG de turno. Ele usa literalmente o conceito de árvore de habilidades de videogame: você começa visualizando seu personagem no nível 20 — a versão de você mesmo com as competências e o papel que realmente quer — e então trabalha de trás para frente. O que precisa ser verdade no nível 19 para chegar ao 20? E no 18, para ter essas opções disponíveis? Você vai recuando até chegar ao nível 1, com um caminho construído de cima para baixo.
Para Jason, o nível 20 era pesquisa de vulnerabilidades — encontrar falhas de segurança desconhecidas em softwares antes que atacantes o façam. Na época, ele era administrador de sistemas, o que lhe dava boa noção de como os sistemas se conectam, mas pouca exposição à análise das aplicações que rodam sobre eles. Essa lacuna — segurança de aplicações — era o próximo nó na sua árvore. Ele ligou para um recrutador de TI, explicou o plano e foi honesto sobre onde estava. O recrutador encontrou uma empresa de processamento de cartões que precisava de um engenheiro de segurança de aplicações e estava disposta a contratar alguém que ainda estava se tornando um.
Para Jason, foi um aprendizado remunerado na habilidade exata que ele buscava. Para a empresa, um engenheiro motivado que cresceria no papel. Ele descreve como um acordo em que os dois lados saíram ganhando — e esse enquadramento importa: ele não estava aceitando menos, estava trocando uma curva de aprendizado mais íngreme por um caminho mais rápido até onde queria chegar.
Após quatro anos desmontando aplicações para entender o que as tornava vulneráveis, ele aplicou o mesmo método novamente. Um amigo ofereceu indicá-lo para uma entrevista no Google. A reação honesta de Jason — de que não era inteligente o suficiente para trabalhar lá — é o tipo de dúvida que a maioria das pessoas reconhece (também conhecida como síndrome do impostor). O amigo não acreditou. Os entrevistadores também não, e ele foi contratado. A lição que ele tirou disso é valiosa: a voz que diz que você não pertence àquele ambiente frequentemente está errada, e a forma de silenciá-la é trabalhar até que as habilidades falem por si.
Ele passou quase sete anos fazendo pesquisa de vulnerabilidades no Android — o tipo de trabalho técnico profundo que a maioria das empresas não tem orçamento para sustentar. Esse histórico abriu a porta para a Amazon. Hoje, Jason mede o risco de aproximadamente um milhão de aplicações na Amazon, avaliando quais causariam mais dano se comprometidas e quais têm maior probabilidade de ser alvo — para que a organização possa priorizar as mais críticas.
Quando perguntado o que diria para alguém com uma grande visão e sem ideia de por onde começar, ele disse: fique obcecado com clareza sobre para onde está indo, porque as lacunas vão aparecer sozinhas. Ele comparou isso a planejar uma viagem de 160 quilômetros e perceber que você não está usando sapatos: uma vez que você vê, não consegue mais deixar de ver.
“Se você pode esperar até o sábado, talvez deva só esperar o sábado. Não tem nada de errado com isso.” — Jason Lane
Volta às Origens: A Trajetória de Jason Goodman
Se Jason Lane planejou a carreira a partir da linha de chegada, a trajetória de Jason Goodman se parece mais com uma máquina de pinball — saltando por três disciplinas de segurança em cerca de um ano e acumulando habilidades pelo caminho.
A base foi construída muito antes de ele saber disso. Oito anos atrás, antes de a Amazon adquirir a Ring, ele trabalhava no atendimento ao cliente, ajudando usuários com seus dispositivos e contas. O que o direcionou para segurança foi, em parte, o incentivo do sogro — que trabalhava em TI — e, em parte, o que ele observava diariamente nas ligações: acessos a contas que não pareciam certos, sinais silenciosos de que algo estava errado. Esses padrões o fizeram querer entender os sistemas por trás deles. Então, ainda no atendimento ao cliente, ele voltou a estudar para se graduar em cibersegurança.
Mas ele não esperou a formatura para começar a construir o caminho. Entrou em contato com o gerente do time interno de ameaças (os profissionais que investigam uso indevido de acessos dentro da organização) e fez uma pergunta que qualquer pessoa pode fazer: o que eu poderia fazer para continuar evoluindo enquanto ainda estou na faculdade? Isso se transformou em projetos extras. E aqui está o detalhe que vale notar: ele ganhou os projetos maiores entregando os menores primeiro.
Seu projeto de destaque foi um painel de prevenção a fraudes que ajudava o time a identificar possíveis usos indevidos do acesso a contas de clientes — um ponto cego que ninguém tinha sinalizado antes. Ele tinha credibilidade para receber esse desafio porque já havia demonstrado comprometimento com o trabalho de menor visibilidade. Isso abriu a porta para seu primeiro cargo como engenheiro de segurança.
De lá, ele migrou para um time de detecção de ameaças adversariais (os profissionais que monitoram atacantes externos tentando invadir sistemas), o que exigiu uma virada de mentalidade: em vez de perguntar o que alguém de dentro poderia fazer com seu acesso existente, ele passou a perguntar como alguém de fora tentaria entrar. Uma movimentação posterior o levou à segurança de aplicações, onde o foco mudou de responder a incidentes para incorporar segurança nos processos desde o início.
“Estou na minha terceira disciplina em um ano desde que migrei do atendimento ao cliente para engenharia de segurança.” — Jason Goodman
O que chama atenção é o quanto se transferiu de um papel para o outro. As consultas no Splunk (ferramenta para busca e análise de grandes volumes de dados de log) aprendidas no atendimento ao cliente serviram no trabalho com ameaças internas; a lógica de detecção das investigações internas serviu na detecção adversarial; e agora, em segurança de aplicações, ele voltou ao ponto de partida — trabalhando ao lado dos mesmos times de atendimento ao cliente de onde veio, mas desta vez ajudando a construir a segurança ao redor deles.
Ao longo de tudo isso, ele contou com quatro mentores diferentes, cada um servindo a um propósito específico: um para navegar a graduação, um para projetos de expansão, um para aprender a pensar como um adversário, e um para se aprofundar em segurança de aplicações. A forma como ele os encontrou é replicável: ele não esperou ser designado a ninguém. Entrou em contato com pessoas cujo trabalho admirava, fez perguntas específicas e manteve o contato ao longo dos anos.
Na Fronteira do Mapa: Harshvardhan Chunawala
Harshvardhan Chunawala ainda estava no ensino médio quando começou a encontrar falhas de segurança em produtos reais e a reportá-las às empresas responsáveis. Ele havia começado desenvolvendo sites e aplicações web e, depois de entender como o software era construído, não conseguia parar de pensar em como poderia ser desmontado. Em vez de esperar ter um diploma ou um emprego para explorar isso, ele começou a analisar produtos reais por conta própria — e quando encontrava uma falha, entrava em contato com a empresa e trabalhava com ela para corrigi-la.
Hoje, como Arquiteto de Soluções para Startups na AWS, ele orienta fundadores sobre segurança e dedica parte do seu tempo a ensinar cursos de nuvem e segurança para estudantes. Uma das perguntas mais frequentes que recebe é: por onde começar, num momento em que parte do trabalho de nível básico está sendo automatizado?
A resposta dele evoluiu ao longo do tempo. Agora que ferramentas de Inteligência Artificial Generativa (IA Generativa) conseguem responder às perguntas mais superficiais, ele acredita que a curiosidade importa mais do que as credenciais — porque quem se destaca são as pessoas que continuam fazendo perguntas depois que a ferramenta fica sem respostas.
“As ferramentas de IA colocam todo mundo na mesma linha de partida. O interesse e a paixão se tornaram o diferencial.” — Harshvardhan Chunawala
O que surpreende na trajetória dele é para onde sua curiosidade o levou. Enquanto estudava na Universidade Carnegie Mellon (CMU), ele acabou trabalhando em missões espaciais, incluindo como operador de missão do rover lunar Iris. Se a pergunta é se segurança pertence ao espaço, a resposta de Harshvardhan é imediata: qualquer coisa que pode ser comandada remotamente pode ser comandada pela pessoa errada.
Quando o assunto é o futuro da segurança, ele vai além: fala sobre robôs entrando nas casas das pessoas, sobre data centers migrando de terra para o fundo do mar e depois para o espaço. Um satélite precisa ser protegido em órbita — onde ninguém pode alcançar fisicamente um sistema comprometido — e também no solo, onde as estações que o controlam também são alvos. Harshvardhan já escreveu um guia de duas partes sobre resposta a incidentes para operações de satélites na AWS, então para ele esse canto do mapa já faz parte do trabalho.
O Fio que Une as Três Histórias
As três trajetórias compartilham um ponto em comum: a função que você vai amar pode ser uma que você ainda não conhece. Jason Lane mapeou seus movimentos a partir do destino final. Jason Goodman carregou suas habilidades por três disciplinas em um único ano. Harshvardhan já está ajudando clientes da AWS a proteger satélites e os sistemas terrestres que os operam. Nenhum deles consegue explicar o que faz em uma única frase — e isso provavelmente vale para muita gente fazendo trabalho interessante nessa área.
Para quem quer explorar os papéis que existem além dos mais conhecidos, algumas referências mencionadas no post original:
- O Estrutura de Força de Trabalho em Cibersegurança (NICE) detalha dezenas de papéis em segurança e as habilidades que cada um exige
- O CyberSeek oferece um mapa interativo de caminhos de carreira mostrando como papéis de nível inicial se conectam a funções avançadas
- O AWS Skill Builder disponibiliza treinamentos gratuitos em segurança e nuvem
- A página do Mês de Conscientização em Cibersegurança da CISA reúne mais recursos para o mês de outubro
A série continua: na Parte 3, o foco será no contraste entre o que as pessoas imaginam ser o dia a dia de segurança e o que ele realmente é.
Fonte
Part 2 – Cybersecurity journeys: What even is this job? (https://aws.amazon.com/blogs/security/part-2-cybersecurity-journeys-what-even-is-this-job/)
Leave a Reply