**Conheça mais sobre a gente!** Nosso propósito é claro: impulsionar o potencial humano. Acreditamos que, com tecnologia e inovação, podemos transformar a forma como pessoas e empresas se conectam. Somos a AI Talent Platform nº 1 para gestão de pessoas no Brasil, com uma jornada completa que vai do recrutamento ao desenvolvimento e acompanhamento, agora com agentes de IA e dados centralizados atuando de forma integrada. Na Gupy, estimulamos o desenvolvimento contínuo em um ambiente com desafios reais, autonomia, colaboração entre áreas e espaço para inovar. O aprendizado faz parte do dia a dia e é potencializado por times diversos e colaborativos, que acreditam no poder das conexões genuínas. Para nós, diversidade é muito importante! Se você pertence a um grupo diverso, saiba que todas as nossas vagas são abertas para você. Queremos construir um time cada vez mais inclusivo, onde todos possam crescer e contribuir de forma única. Fazer parte da Gupy é criar o futuro do trabalho com propósito, tecnologia e impacto real na vida das pessoas. **Responsabilidades e atribuições** A área de Tecnologia da Gupy é o coração da nossa inovação! Com times de Produto, Design e Engenharia, criamos soluções que transformam o mercado de RH e desenvolvimento humano. Trabalhamos em um ambiente colaborativo, diverso e dinâmico, sempre focados em oferecer a melhor experiência para nossos usuários. Aqui, a inovação é constante, e cada pessoa tem espaço para crescer e impactar o futuro do trabalho! **Como Especialista em Segurança de Aplicações (AppSec), você vai:** * Ser referência técnica em segurança para os times de Produto e Engenharia, levando a segurança para o início do ciclo de desenvolvimento sem comprometer a velocidade de entrega. * Conduzir sessões de threat modeling em novas features e mudanças de arquitetura, identificando riscos e propondo controles antes da implementação. * Realizar code reviews de segurança e testes manuais em aplicações web, APIs e mobile, buscando vulnerabilidades como XSS, IDOR, SSRF e falhas de controle de acesso. * Implementar, manter e calibrar ferramentas de SAST, DAST, SCA e detecção de segredos integradas aos pipelines de CI/CD. * Fazer a triagem, priorização e acompanhamento das vulnerabilidades, apoiando as pessoas desenvolvedoras na correção com orientações práticas. * Definir padrões e guias de desenvolvimento seguro, cobrindo autenticação, autorização, criptografia e tratamento de dados pessoais. * Disseminar a cultura de segurança por meio de treinamentos * Apoiar iniciativas de conformidade (LGPD, ISO 27001, SOC 2\) e participar da resposta a incidentes envolvendo aplicações. **Principais entregáveis de curto/médio prazo:** * Mapear o cenário atual de segurança das aplicações, incluindo ferramentas em uso, backlog de vulnerabilidades e principais riscos dos produtos Gupy. * Evoluir SAST, SCA e detecção de segredos rodando nos pipelines de CI/CD dos repositórios críticos, com regras ajustadas para reduzir falsos positivos. * Implementar um fluxo de triagem e priorização com SLAs de correção por criticidade, acompanhado por indicadores como tempo médio de correção. * **I**ncorporar a modelagem de ameaças ao fluxo de desenvolvimento de novas features de maior risco. * Publicar padrões e checklists de segurança para os times de Engenharia. * Realizar ou coordenar testes de intrusão nas aplicações e APIs mais críticas, com plano de correção acordado com os times. **Requisitos e qualificações** **Como requisitos básicos, você deve ter:** * Experiência sólida em segurança de aplicações, ou em desenvolvimento de software com forte atuação em segurança. * Conhecimento aprofundado do OWASP Top 10 e do OWASP API Security Top 10, além das principais classes de vulnerabilidades (injeção, XSS, IDOR, SSRF, falhas de autenticação e controle de acesso). * Capacidade de ler e revisar código, preferencialmente em JavaScript/TypeScript (Node.js). * Vivência com ferramentas de teste de segurança, como Burp Suite, OWASP ZAP, Semgrep, SonarQube, Snyk ou similares. * Experiência na integração de verificações de segurança em pipelines de CI/CD (ex.: GitHub Actions, jenkins). * Conhecimento de protocolos e mecanismos de autenticação e autorização, como OAuth 2\.0, OpenID Connect e JWT. * Experiência com gestão de vulnerabilidades, incluindo triagem, priorização por criticidade e acompanhamento de correções. * Boa comunicação para traduzir riscos técnicos em impacto para o negócio e construir parcerias com times de engenharia. **Você se destaca, se tiver:** * Experiência em ambientes cloud (AWS) incluindo segurança de containers e Kubernetes. * Conhecimento em segurança de infraestrutura como código (Terraform). * Experiência conduzindo threat modeling em arquiteturas de microsserviços. * Certificações como OSCP, OSWE, CSSLP ou equivalentes. * Conhecimento de frameworks e normas de conformidade, como LGPD, ISO 27001 e SOC 2\. * Experiência em empresas SaaS que lidam com grande volume de dados pessoais. **In