Security Engineer

Security Engineer
Modelo de Trabalho: 100% Remoto
Regime de Contratação: Prestador de Serviço (PJ)
Pagamento: USD $4000,00

Sobre a empresa

A H&W Publishing é uma holding que nasceu no coração do Direct Response e hoje constrói, lança e escala produtos diversos para o mercado global, com forte atuação nos segmentos de DTC, nutracêuticos e affiliate marketing.

Somos uma operação movida por performance. Aqui, Copy, Media Buying, Tech, Design, Produto, Dados e Operações trabalham de forma integrada para transformar ideias em ofertas capazes de alcançar milhares de consumidores ao redor do mundo.

Em nosso primeiro ano de operação, alcançamos a liderança na América Latina e, já no primeiro trimestre de 2025, chegamos à liderança global do segmento. Valorizamos pessoas com senso de dono, autonomia e velocidade de execução, que gostam de testar, aprender, construir e escalar.

Sobre a posição

Buscamos um(a) Security Engineer com atuação integralmente hands-on, responsável por executar o escopo técnico de segurança delegado pelo Engineer Lead do squad, produzir evidências e reportar riscos.

Não é uma posição de governança ou coordenação: a definição de padrão técnico e a priorização do backlog ficam com o Lead. Esta posição executa, documenta e escala.

A atuação cobre toda a superfície do grupo — aplicações, APIs, infraestrutura cloud (AWS e OVH), pipelines, identidade e detecção — em ambiente que trata dados sensíveis de saúde.

Principais Atribuições

• Executar o escopo técnico de segurança definido pelo Engineer Lead, submetendo as entregas à revisão.
• Atuar na segurança de cloud produtiva (AWS e OVH): IAM, VPC, Security Groups, KMS, segredos, hardening e exposição pública.
• Conduzir a gestão de vulnerabilidades ponta a ponta: triagem, classificação (CVSS), atribuição de dono e prazo, evidência e reteste.
• Operar SAST, DAST e SCA, separando achado real de falso positivo antes de gerar demanda para os times de produto.
• Revisar código com foco em segurança, aplicando OWASP Top 10 e API Security Top 10.
• Inserir e manter gates de segurança em pipelines de CI/CD e em infraestrutura como código, sem travar o time de produto.
• Trabalhar segurança de containers: build de imagens, registry e hardening de runtime.
• Escrever consultas e regras de detecção em SIEM ou stack de logs e produzir os runbooks correspondentes.
• Conduzir revisões periódicas de acesso, aplicando MFA, menor privilégio e cofre de segredos.
• Automatizar coleta de evidência e validação de controles com Python ou Bash.
• Registrar o que foi testado, como foi testado e o que foi provado, mantendo a evidência como entregável.
• Reportar riscos e escalar ao Lead tudo o que foge do escopo delegado.

Requisitos

• Segurança em cloud produtiva (AWS), hands-on: IAM e políticas, VPC e segmentação, Security Groups, KMS/secrets, hardening e revisão de exposição pública.
• Linux e redes em nível de troubleshooting: TCP/IP, DNS, TLS, VPN, firewall, análise de tráfego.
• AppSec: OWASP Top 10 e API Security Top 10 na prática; revisão de código com foco em segurança; operação de SAST, DAST e SCA, com capacidade de separar achado real de falso positivo.
• Infraestrutura como código e CI/CD: Terraform e pipelines (GitHub Actions, GitLab CI ou equivalente), com inserção de gates de segurança.
• Containers: Docker, build de imagens, registry, hardening básico de runtime.
• Gestão de vulnerabilidades ponta a ponta: triagem, classificação (CVSS), atribuição de dono e prazo, evidência e reteste.
• Logs e detecção: escrita de consultas e regras em SIEM ou stack de logs (CloudWatch, OpenSearch, Wazuh, Splunk, Sentinel ou similar) e produção de runbooks.
• Identidade e acesso: MFA, menor privilégio, cofre de segredos e condução de revisões periódicas de acesso.
• Scripting em Python ou Bash para automação, coleta de evidência e validação de controles.
• Disciplina de documentação: a evidência é entregável da posição, não subproduto.
• Inglês para leitura técnica (documentação, advisories, ferramentas e consoles).
• Maturidade para operar sob direcionamento: executar o padrão definido pelo Lead, submeter entregas à revisão e escalar o que foge do escopo delegado.

Diferenciais

• OVH ou outro provedor além da AWS; experiência em ambiente híbrido ou multi-cloud.
• Kubernetes e segurança de containers em profundidade: RBAC, admission controllers, políticas de imagem.
• Purple team e red team autorizado, threat modeling e detecções a partir de TTPs (MITRE ATT&CK).
• Ferramentas de proteção: PAM, EDR, WAF e CDN (Cloudflare), DLP, CSPM.
• Detection-as-code, SOAR e automação de resposta a incidentes.
• Conformidade: LGPD, PCI-DSS, ISO 27001 ou SOC 2, incluindo participação em auditorias e produção de evidência para auditor.