Segurança: mercado

Vaga

uma vaga aberta que passou pelo filtro de qualidade e lista pelo menos duas tecnologias

Candidato observado

um candidato cujo stack contém esta tecnologia; um agregado — nenhum registro individual sai do perímetro

Candidato compatível

ainda não contado

Janela

vagas abertas no momento em que o snapshot foi gerado

Top tecnologias em vagas de Security 5: cloud, aws, python, azure, devsecops. Básicos obrigatórios: OWASP Top 10 (must-know), Linux (avançado), Python e Bash para automação, Git. Web security: Burp Suite (o padrão de pen-test), OWASP ZAP, OWASP Dependency-Check. SAST/DAST: SonarQube, Checkmarx, Snyk, Semgrep. SIEM: Splunk, ELK (Elasticsearch + Logstash + Kibana), QRadar. Pen-test: Kali Linux, Metasploit, Nmap, Wireshark. Cloud security: AWS Security Hub, GCP Security Command Center, Azure Sentinel. IAM: HashiCorp Vault, Keycloak. Certificações: OSCP (offensive), CISSP (gerencial), OSCE, CEH, AWS Security Specialty.

AppSec (Application Security) — segurança de código e aplicações, code review, SAST/DAST, threat modeling, OWASP. Trabalha dentro de uma equipe de produto. DevSecOps — incorpora a segurança aos pipelines de CI/CD, gerenciamento de segredos, escaneamento de contêineres, GitOps. Próximo de DevOps + segurança. Pen-Tester / Red Team — hacking ético, simulação de ataques, caça a vulnerabilidades 0-day, certificações OSCP/OSCE. Mais comum em consultorias ou empresas especializadas. Analista SOC (Security Operations Center) — monitoramento de incidentes 24/7, triagem, resposta, trabalho com SIEM (Splunk/QRadar). Por salário: AppSec ≈ DevSecOps > Pen-Tester ≈ Cloud Security > Analista SOC. Trajetória de carreira: SOC Tier 1 → Tier 2 → AppSec/Cloud → Sênior → Arquiteto de Segurança.

Parcialmente: 34% das vagas de Security são totalmente remotas. Menor que Backend/DevOps, porque bancos e fintech exigem híbrido ou escritório por causa de compliance — trabalho com PII, dados de pagamento, acesso de produção. Fornecedores locais de segurança — mais frequentemente híbrido. Times de produto internacionais — quase sempre remotos. Freelance de Pen-Tester (Bug Bounty no HackerOne/Bugcrowd) — totalmente remoto, horário flexível, teto depende só da habilidade. SOC Analyst — muitas vagas remotas (muitas vezes trabalho por turnos). Cloud Security — tipicamente remoto (tudo pelo console AWS/GCP).

DevOps owns the infrastructure and CI/CD — automation, observability, production reliability. Security Engineer owns defence: vulnerability hunting, threat modeling, incident management, compliance. The stack overlaps (Linux, Docker, Kubernetes, cloud) but the focus differs. DevSecOps — the hybrid: a DevOps engineer with security specialisation who embeds SAST/DAST/secrets-scanning into pipelines. Career flow: Senior Backend → DevOps → DevSecOps; or a separate Security track (SOC → AppSec → Senior Security). Seniors can converge into Security Architect — the top level.

Não existe um caminho direto para a Security — geralmente uma evolução a partir de um papel adjacente. Os dois pontos de entrada mais comuns: 1) Backend / DevOps Middle (2-3 anos) → migrar para AppSec/DevSecOps adquirindo OWASP Top 10, SAST/DAST, threat modeling. 2) SOC Analyst Tier 1 (amigável para junior, monitoramento em turnos) → Tier 2 → especialização. Pet projects: HackTheBox, TryHackMe (plataformas de CTF para praticar skills), OverTheWire, contribuições para ferramentas de segurança open-source. Certificações: OSCP (Offensive Security Certified Professional — must-have para Pen-Test), CISSP (trilha gerencial), AWS Security Specialty, CKS (Kubernetes Security). Livros: "The Web Application Hacker's Handbook" (Dafydd Stuttard), "Black Hat Python", "Threat Modeling" (Adam Shostack).

As of the latest data refresh, the Zorky sample contains 9739 active open Security positions across CIS and Eastern Europe. These are postings published in the last 90 days — companies actually hiring. Geography is distributed; the leaders are US, PL, GB. Data is collected from 105 job boards and 16 669 company career sites: Telegram channels (especially for niche Pen-Test and Bug Bounty jobs, security conferences, anti-leak communities), specialised job sites (HH, Habr Career, Djinni, DOU, NoFluffJobs, JustJoin.it, Pracuj.pl), career pages of security vendors. Security is a niche area, so the job volume is smaller than Backend/Frontend, but one of the highest-paid.

O principal fator é a moeda do contrato e a especialização. Pen-Test e Cloud Security costumam pagar um premium (+20-30% sobre a mediana). Os bancos locais russos em contratos de rublo fecharam a diferença para o mercado polonês ao longo de 2 anos para o Senior.

Um Security engineer Sênior é dono do stack completo de defesa em uma das especializações (AppSec / DevSecOps / Cloud Security / Pen-Test). Base: OWASP Top 10, Linux (avançado), Python + Bash, Git. Compreensão do stack de desenvolvimento (escolha um: Backend ou Frontend em nível Sênior). Para AppSec: SAST/DAST (SonarQube, Checkmarx, Snyk, Semgrep), Burp Suite avançado, OWASP ZAP, revisão de código seguro, modelagem de ameaças (STRIDE, PASTA). Para DevSecOps: gestão de segredos (HashiCorp Vault), varredura de contêineres (Trivy, Snyk), GitOps. Para Cloud Security: AWS Security Hub / GCP SCC / Azure Sentinel, IAM no nível de políticas, compliance (SOC 2, ISO 27001, GDPR). Certificações (OSCP/CISSP/AWS Security/CKS), experiência com gestão de incidentes, liderança.