Segurança em Cloud: mercado

Vaga

uma vaga aberta que passou pelo filtro de qualidade e lista pelo menos duas tecnologias

Candidato observado

um candidato cujo stack contém esta tecnologia; um agregado — nenhum registro individual sai do perímetro

Candidato compatível

ainda não contado

Janela

vagas abertas no momento em que o snapshot foi gerado

Júnior — entrada típica: 1) Cloud Engineer Pleno + interesse em segurança (expertise de nuvem já presente, precisa de técnicas de segurança), 2) Security Engineer Pleno + interesse em profundidade específica de nuvem, 3) DevSecOps Pleno + foco em nuvem. Salto Júnior → Pleno — depois da primeira implantação de uma ferramenta CSPM (Wiz / Prisma Cloud / AWS Security Hub nativo) + primeira iniciativa de remediação de IAM multi-conta. Pleno → Sênior — governança multi-cloud + arquitetura de segurança de landing zone + domínio de ferramental CNAPP + automação de frameworks de compliance (evidência específica de nuvem FedRAMP / SOC 2 / ISO 27001). Sênior → Cloud Security Architect — estratégia de segurança de nuvem para toda a organização + Zero Trust multi-cloud + assessoria executiva. Fluxo de carreira: Cloud Engineer Sênior (3-5 anos) + interesse → Cloud Security Engineer Júnior (1-2 anos) → Pleno (2-3 anos) → Sênior → ou Cloud Security Architect, especialista em ferramental CNAPP/CSPM (Wiz CSE / Prisma Cloud expert), trilha de CISO Cloud, ou pivô para um time de segurança nativo de provedor de nuvem (AWS / GCP / Azure — nível premium).

Top 5: cloud, aws, azure, gcp, ci/cd. Uma plataforma de cloud a fundo + o básico das outras duas. Domínio de AWS Security: GuardDuty + Security Hub + Macie + Inspector + Detective + Config + IAM Access Analyzer + KMS + Secrets Manager + WAF + Shield + Network Firewall + VPC Flow Logs + Security Lake (2024+ — security data lake). Certificação AWS Security Specialty (SCS-C02). Domínio de GCP Security: Security Command Center (SCC Enterprise — carro-chefe) + Cloud Armor (WAF + DDoS) + Cloud DLP + Cloud KMS + Secret Manager + Cloud Identity + Web Risk + Chronicle (SIEM do Google — premium). Certificação GCP Professional Cloud Security Engineer. Azure SC-100 (Cybersecurity Architect Expert) + AZ-500 (Security Engineer Associate). Domínio de CSPM: Wiz (líder 2026 — preço premium, arquitetura agentless — must-know para papéis de ponta em cloud-security) + Prisma Cloud (enterprise Palo Alto) + Lacework + Orca Security (concorrente agentless do Wiz) + Sysdig Secure + Aqua Cloud Security + Check Point CloudGuard + Tenable Cloud Security (Ermetic — forte em CIEM) + Datadog Cloud Security Management + Zscaler Posture Control. Open-source: Prowler (líder AWS — obrigatório para shops AWS) + Cloud Custodian (policy engine multi-cloud) + ScoutSuite + CloudSploit + Steampipe (queries SQL em recursos de cloud). CIEM: Wiz CIEM + Tenable Cloud Security (Ermetic — líder de CIEM) + SailPoint + Saviynt + CyberArk Secure Cloud Access. Pacu (exploração offensive de AWS). CNAPP: Wiz (definiu a categoria) + Prisma Cloud + CrowdStrike Falcon Cloud Security + Lacework + Orca + Sysdig + SentinelOne Cloud Security + Aqua CNAPP. DSPM em ascensão 2024+: BigID (líder) + Cyera + Symmetry Systems + Sentra + Securiti. Segurança de containers / K8s: Falco runtime + Cilium Tetragon + Tracee + Trivy/Grype/Snyk Container image scanning + OPA Gatekeeper / Kyverno admission controllers + Sigstore cosign image signing + Kubescape (CNCF K8s posture) + kube-bench (CIS) + kube-hunter (pentesting). Serverless security: Snyk Function Scanning + Lambda least-privilege + dependency security. IaC scanning: Checkov (melhor para Terraform/CFN) + tfsec + KICS + Terrascan + Snyk IaC. Cloud secrets: HashiCorp Vault (padrão da indústria) + cloud-native (Secrets Manager/Parameter Store + Secret Manager + Key Vault) + Doppler/Akeyless/1Password Secrets Automation + External Secrets Operator para K8s. Cloud encryption: KMS envelope encryption + HSM (CloudHSM/Cloud HSM/Dedicated HSM) + BYOK/HYOK. Frameworks de compliance: SOC 2 + ISO 27001 + PCI-DSS + HIPAA + FedRAMP + GDPR + 152-FZ + 187-FZ + CIS AWS/Azure/GCP Benchmarks. Linguagens: Python principal + Terraform IaC security + bash + PowerShell + Go bônus.

Cloud Engineer — foco em provisionamento de infraestrutura de nuvem + otimização de custos + governança multi-conta. Não é específico de segurança. Veja Cloud Engineer. DevSecOps Engineer — foco em segurança nos pipelines de CI/CD + segurança de IaC + runtime de contêineres + cadeia de suprimentos. Do lado da infraestrutura. Veja DevSecOps. Security Engineer (geral) — cobertura ampla de todos os domínios de segurança. Veja Security Engineer (geral). Cloud Security Engineer (esta página) — foco em segurança específica de nuvem: serviços nativos de AWS/GCP/Azure + CSPM/CIEM/CNAPP + conformidade em nuvem + domínio de IAM específico de nuvem + governança multi-conta + criptografia em nuvem. Segmento premium ideal graças às habilidades híbridas. Realidade 2026 (mapa de sobreposição): Cloud Security ↔ Cloud Engineer: 60% (ambos aprofundados em uma nuvem, mas com focos diferentes). Cloud Security ↔ DevSecOps: 50% (sobreposição em segurança de contêineres + IaC + cadeia de suprimentos). Cloud Security ↔ Security Engineer geral: 40% (Cloud Security tem profundidade no domínio de nuvem, Security Engineer tem amplitude). Mudanças de carreira: Cloud Engineer Sênior → Cloud Security Júnior — 4-8 meses (é preciso adicionar técnicas de segurança + ferramentas CSPM + domínio de IAM + frameworks de conformidade). Security Engineer Pleno → Cloud Security — 4-8 meses (é preciso profundidade em nuvem). DevSecOps Sênior → Cloud Security — 2-4 meses (muita sobreposição). Realidade 2026: o mercado de Cloud Security cresce mais rápido que o de segurança em geral graças à adoção contínua da nuvem (89% das empresas usam 2+ nuvens, segundo a Flexera) + a dor da governança multi-cloud + a pressão regulatória (FedRAMP / SOC 2 / CIS Benchmarks).

Use case: empresas com orçamento + multi-cloud + que querem best-in-class. Venceu o mais recente Gartner MQ 2024. 2) Prisma Cloud (Palo Alto Networks) — enterprise abrangente — aquisições Twistlock + RedLock + PureSec consolidadas. Pontos fortes: segurança profunda de containers/K8s (herança Twistlock), cobertura ampla. Pontos fracos: deployment mais pesado, pricing complexo. Use case: já ser cliente da Palo Alto Networks + querer uma plataforma unificada. 3) Lacework — detecção baseada em comportamento (plataforma de dados Polygraph) + multi-cloud. Pontos fortes: detecção de anomalias sem regras customizadas. Pontos fracos: UI menos madura que a do Wiz. Use case: mid-market + querer detecção behaviour-driven. 4) Orca Security — concorrente agentless do Wiz (arquitetura similar — usa APIs de cloud). Pontos fortes: tecnologia patenteada de side-scanning — sem agents, menos impacto de performance. Normalmente mais barato que o Wiz. Use case: similar ao Wiz, mas com orçamento restrito. 5) Sysdig Secure — focado em runtime (baseado em eBPF) + forte em containers. Pontos fortes: segurança de runtime profunda (herança Falco — a Sysdig inventou o Falco), melhor para workloads container-heavy. Pontos fracos: cobertura de CSPM menos ampla. Use case: Kubernetes-heavy + querer profundidade em runtime security. 6) Aqua Cloud Security — fornecedor container-first (criadores do Trivy) + CNAPP. Pontos fortes: profundidade em segurança de containers + herança open-source (Trivy amplamente usado). Use case: shops maduros em containers + querer um fornecedor que mantém open-source. 7) CrowdStrike Falcon Cloud Security — extensão do líder de EDR CrowdStrike. Pontos fortes: integrado com EDR + plataforma Falcon. Use case: já ser cliente CrowdStrike querendo uma extensão de cloud security. 8) Snyk Cloud — extensão do líder de SCA/SAST Snyk. Pontos fortes: developer-friendly + integração com IDE. Use case: já ser cliente Snyk querendo cloud security. 9) Cloud-native (grátis / barato): AWS Security Hub + GuardDuty + Macie + IAM Access Analyzer + Config / GCP Security Command Center / Azure Defender for Cloud + Sentinel. Use case: orçamento restrito + ok com vendor lock + pegada de cloud pequena. 10) CSPM open-source: Prowler (AWS — líder, usado pela própria Wiz para scanning de AWS), Cloud Custodian (policy engine multi-cloud), ScoutSuite, CloudSploit, Steampipe (queries SQL para recursos de cloud). Use case: orçamento zero + time técnico capaz de operá-lo. Recomendações default 2026: Enterprise + multi-cloud + orçamento ok → Wiz ou Prisma Cloud. Container-heavy → Sysdig Secure ou Aqua. Cliente CrowdStrike/Snyk existente → extensão Falcon Cloud Security / Snyk Cloud. Orçamento restrito → cloud-native + Prowler / Cloud Custodian open-source. Melhor UX agentless → Wiz ou Orca. Mercado russo (pós-saída de AWS/GCP) → nativo do cloud-provider + fornecedores de segurança russos.

Sim, 33% das vagas de Cloud Security Engineer são totalmente remotas ou híbridas. O trabalho de Cloud Security é totalmente baseado em nuvem (inteiramente via consoles + dashboards + ferramentas SaaS). Empresas de outsourcing (EPAM Cloud Security Practice / Luxoft / Andersen / DataArt Cloud Security) — quase sempre remotas em projetos dos EUA. Bancos russos — híbrido/presencial por causa de mandato regulatório + soberania de dados em nuvem. Provedores de nuvem russos — híbrido ou remoto após verificação de antecedentes de segurança. Vendors russos de segurança — híbrido. Empresas estatais — híbrido/presencial obrigatório por causa de air-gapped + clearances. Empresas vendors de CSPM/CNAPP (Wiz / Prisma Cloud / Lacework / Orca / Sysdig / Aqua / Snyk Cloud) — totalmente remoto padrão, segmento premium para Seniors de língua russa com inglês. Segurança cloud-native — totalmente remoto. Big Tech Cloud Security (time AWS Security / GCP Security / Azure Security / Apple Cloud / Meta Production Engineering Security) — híbrido padrão. Hubs de relocação: Polônia (UE Cloud Security-friendly) / Alemanha (Berlim + Munique) / Canadá / Sérvia / EAU. Inglês para remoto internacional de Cloud Security — obrigatório (docs de vendors Wiz / Prisma / Snyk + comunidade + conferências fwd:cloudsec / RSA / Black Hat — em inglês).

Senior Cloud Security Engineer — dono prático das implementações de segurança em nuvem. No dia a dia: ajustar políticas das ferramentas de CSPM (regras de Wiz / Prisma Cloud), responder a achados de segurança, remediação de IAM, triagem de vulnerabilidades, automação (Python para scripts de segurança em nuvem), coleta de evidências de compliance. Programação moderada. Cloud Security Architect — projeta a estratégia de segurança em nuvem de toda a organização + arquitetura Zero Trust multicloud + padrões de segurança de landing zones + seleção de frameworks de compliance. No dia a dia: escrita de ADRs para decisões de segurança em nuvem, revisões de design das propostas de segurança em nuvem dos times de produto, estratégia de governança multicloud, aconselhamento executivo ao CISO / CTO, avaliação de fornecedores (decisão entre Wiz, Prisma e Orca), defesa do orçamento. Menos programação. Trajetória de carreira: Senior Cloud Security Engineer (4-6 anos) → Cloud Security Architect → Principal Cloud Security Architect / Distinguished / trilha de CISO de nuvem. Especialista em CSPM/CNAPP (subespecialidade) — expertise profunda em uma ferramenta de CSPM (Wiz CSE — Certified Security Engineer / Prisma Cloud Certified Engineer / Lacework). Muitas vezes trabalha em empresas fornecedoras ou consultorias premium (PwC Cloud Security / Deloitte Cloud Security). Remuneração comparável à de Cloud Security Sênior + prêmio pela certificação do fornecedor. AWS / GCP / Azure Security Engineer (especialista em uma nuvem) — expertise profunda nos serviços de segurança nativos de uma nuvem (não segurança em nuvem generalizada). Muitas vezes dentro de um time do provedor de nuvem (AWS Security / GCP Security / Azure Security) ou em empresas fortemente baseadas em uma única nuvem. Escolha de carreira: Engineer Sênior se o trabalho prático interessa, Architect se estratégia + entre times, especialista em CSPM se profundidade em ferramentas, especialista em uma nuvem se você quer o nível premium em um time nativo de provedor de nuvem.

Roadmap: 1) Fundamentos de cloud sólidos — escolha uma cloud a fundo (AWS / GCP / Azure) e passe na certificação Foundation (AWS Cloud Practitioner / GCP Cloud Digital Leader / Azure Fundamentals AZ-900). 2) Base de Cloud Engineer — certificação de nível Associate (AWS SA Associate / GCP Associate Cloud Engineer / Azure AZ-104). Domínio de IAM + design de VPC + visão geral de serviços cloud-native. 3) Fundamentos de segurança — OWASP Top 10 + Tríade CIA + noções de criptografia + protocolos de rede (TCP / TLS / VPN). 4) Certificação Security+ (CompTIA — base). 5) Certificação específica de Cloud Security: AWS Security Specialty (SCS-C02) — obrigatória para o track AWS Security (certificação premium + reconhecida em todo o setor). Ou Azure SC-100 (Cybersecurity Architect Expert) + AZ-500 (Security Engineer). Ou GCP Professional Cloud Security Engineer. 6) Domínio de IaC: Terraform + IaC cloud-native (AWS CDK / Azure Bicep). Prática com Checkov / tfsec para varredura de segurança de IaC. 7) CSPM open-source na prática: Prowler (AWS — obrigatório) + Cloud Custodian + ScoutSuite. Rode na sua própria conta AWS Free Tier. Entenda padrões de misconfiguration. 8) Segurança de contêineres: Falco runtime + varredura de imagens Trivy + admissão OPA Gatekeeper ou Kyverno. Configure no seu próprio cluster K8s (kind / k3s). 9) HashiCorp Vault a fundo: padrão da indústria para gerenciamento de secrets. Configure um Vault self-hosted + integração com K8s (External Secrets Operator). 10) SIEM cloud-native na prática: configuração de AWS Security Lake ou GCP Chronicle ou Azure Sentinel. Construa regras básicas de detecção. 11) Ferramentas de fornecedores CSPM/CNAPP (se houver orçamento ou forem fornecidas pelo empregador): experimente trials de Wiz / Prisma Cloud / Snyk Cloud / demos da Lacework. Entenda as saídas de relatório. 12) Frameworks de conformidade a fundo: CIS AWS Benchmarks / CIS Azure / CIS GCP — automatize checagens de conformidade (o Prowler já implementa CIS). Requisitos cloud-específicos de FedRAMP / SOC 2 / ISO 27001. 13) Caminho de certificações premium: CCSP (Certified Cloud Security Professional — ISC²) ou CCSK (Certificate of Cloud Security Knowledge — Cloud Security Alliance) — certificações premium de Cloud Security. Trio multi-cloud: AWS Security Specialty + Azure SC-100 + GCP Professional Cloud Security — sinal de currículo de nível premium. 14) Portfólio de pet projects: a) arquitetura completa de Cloud Security para uma conta AWS (governança multi-conta + Control Tower + Security Hub + GuardDuty + regras customizadas do Prowler); b) deployment de demo Wiz / Prisma Cloud (use o trial); c) configuração de segurança K8s (Falco + políticas Kyverno + assinatura Sigstore). Documente no GitHub + post de blog. Internacional (EN): cursos SANS (SEC540 Cloud Security & DevOps Automation — premium, caro, mas o melhor), cursos "Practical DevSecOps", tracks de Security da A Cloud Guru / Cloud Academy, trilhas de aprendizado de Security do AWS Skill Builder. Livros de leitura obrigatória: "Cloud Native Security" Liz Rice, "Container Security" Liz Rice, "Practical Cloud Security" Chris Dotson, "AWS Security Cookbook" Heartin Kanikathottu. Cloud Engineer Middle + interesse → Cloud Security Junior — 4-8 meses.

286 active open Cloud Security Engineer positions — growing segment due to mainstream cloud adoption + multi-cloud reality + regulatory pressure (FedRAMP / SOC 2 / CIS Benchmarks). Geography: the US, Poland, the UK. The real market is broader thanks to the international remote segment (CSPM/CNAPP vendors — full-remote-friendly) + Big Tech Cloud Security teams (AWS Security largest + GCP Security + Azure Security teams). Time to close a Senior Cloud Security Engineer — 6-12 weeks (longer than general DevOps due to rare-skill combination — cloud expertise + security expertise + multi-cloud certifications).

Um Cloud Security Engineer Sênior é dono do ciclo completo de segurança em nuvem + governança multicloud + liderança técnica. Uma certificação de segurança em nuvem em nível Pro: AWS Security Specialty (SCS-C02) ou Azure SC-100 / AZ-500 ou GCP Professional Cloud Security Engineer — em escala real de produção. Noções de multicloud: conhecimento das outras duas nuvens no mínimo em nível Associate. Domínio profundo de IAM: design de menor privilégio multiconta + automação (AWS Organizations SCPs + GCP Organization Policy + Azure Management Groups), padrões de IAM entre serviços (IRSA para EKS / Workload Identity para GKE / Managed Identity para Azure), gestão de acesso privilegiado (ferramentas PAM — CyberArk / BeyondTrust / HashiCorp Boundary), padrões de acesso JIT (Just-In-Time). Domínio de ferramentas CSPM: uma entre Wiz / Prisma Cloud / Lacework / Orca / Sysdig a fundo — criação de políticas personalizadas, workflows de triagem de achados, automação de remediação, estratégia de onboarding multiconta. Domínio dos serviços nativos de segurança da nuvem: AWS Security Hub + GuardDuty + Macie + Inspector + Config + IAM Access Analyzer avançados (detectores personalizados, remediação automatizada) ou GCP Security Command Center avançado ou Azure Defender for Cloud avançado. SIEM nativo de nuvem: AWS Security Lake + Detective ou Google Chronicle ou Azure Sentinel — regras de detecção personalizadas, agregação de logs multicloud. Domínio de segurança de contêineres / K8s: regras personalizadas no Falco + políticas avançadas no Kyverno / OPA Gatekeeper + workflows de assinatura com Sigstore cosign + gestão de postura com Kubescape + estratégias de segurança multicluster. Domínio de segurança de IaC: desenvolvimento de checks personalizados no Checkov, padrões de segurança para Terraform, segurança de IaC nativo de nuvem (segurança de AWS CDK + Azure Bicep). Domínio de criptografia em nuvem: padrões avançados de envelope encryption no KMS, integração com HSM (CloudHSM / Dedicated HSM), BYOK / HYOK para compliance, automação de rotação de chaves. Domínio de gestão de segredos: HashiCorp Vault avançado (Transit / KV / Database / PKI / métodos de autenticação nativos de nuvem), External Secrets Operator para K8s, estratégia de segredos multicloud. Domínio de frameworks de compliance: SOC 2 + ISO 27001 + PCI-DSS + HIPAA + FedRAMP + GDPR + 152-FZ + 187-FZ + automação dos CIS Benchmarks. Projetar sistemas automatizados de coleta de evidências (Drata / Vanta / Secureframe). Modelagem de ameaças para nuvem: vetores de ataque específicos da nuvem (caminhos de escalonamento de privilégios no IAM, ataques entre contas, exploração de lambdas, fuga de contêiner, cadeia de suprimentos na nuvem), MITRE ATT&CK Cloud Matrix. System design para segurança em nuvem: projetar no quadro branco uma arquitetura Zero Trust multicloud, projetar padrões de segurança de landing zone, projetar uma estratégia de gestão de chaves multirregião, projetar Zero Trust Network Access (ZTNA). Programação: Python a fundo (domínio dos SDKs de nuvem — boto3 + google-cloud + azure-sdk) para automação de segurança personalizada, Terraform para IaC, bash + PowerShell. Soft skills: escrita de ADRs para decisões de segurança em nuvem, redação técnica (documentos de design de segurança em nuvem + relatórios de auditoria), comunicação executiva (postura de segurança em nuvem para CISO / CTO / Conselho), avaliação de fornecedores (decisão entre Wiz, Prisma e Orca), mentoria de Cloud Security Engineers Pleno. Inglês para Sênior+ OBRIGATÓRIO — a comunidade de Cloud Security (fwd:cloudsec / trilha de Cloud Security da RSA / CSA) + a documentação de fornecedores (Wiz / Prisma / Snyk / HashiCorp) são inteiramente em inglês. Bônus opcional: contribuições open-source para ferramentas de segurança em nuvem (Prowler / Cloud Custodian / Falco / OPA / Kyverno) — aumentam muito o valor de mercado para contratação em Cloud Security das Big Techs + fornecedores de CSPM/CNAPP. Palestras no fwd:cloudsec / trilha de Cloud Security da RSA — prêmio em empresas de ponta de segurança em nuvem.