Lead Engineer - AppSec

Conheça mais sobre a gente!Nosso propósito é claro: impulsionar o potencial humano. Acreditamos que, com tecnologia e inovação, podemos transformar a forma como pessoas e empresas se conectam. Somos a AI Talent Platform nº 1 para gestão de pessoas no Brasil, com uma jornada completa que vai do recrutamento ao desenvolvimento e acompanhamento, agora com agentes de IA e dados centralizados atuando de forma integrada.Na Gupy, estimulamos o desenvolvimento contínuo em um ambiente com desafios reais, autonomia, colaboração entre áreas e espaço para inovar. O aprendizado faz parte do dia a dia e é potencializado por times diversos e colaborativos, que acreditam no poder das conexões genuínas.Para nós, diversidade é muito importante! Se você pertence a um grupo diverso, saiba que todas as nossas vagas são abertas para você. Queremos construir um time cada vez mais inclusivo, onde todos possam crescer e contribuir de forma única.Fazer parte da Gupy é criar o futuro do trabalho com propósito, tecnologia e impacto real na vida das pessoas.Responsabilidades e atribuiçõesA área de Tecnologia da Gupy é o coração da nossa inovação! Com times de Produto, Design e Engenharia, criamos soluções que transformam o mercado de RH e desenvolvimento humano. Trabalhamos em um ambiente colaborativo, diverso e dinâmico, sempre focados em oferecer a melhor experiência para nossos usuários. Aqui, a inovação é constante, e cada pessoa tem espaço para crescer e impactar o futuro do trabalho!

Como Especialista em Segurança de Aplicações (AppSec), você vai:

Ser referência técnica em segurança para os times de Produto e Engenharia, levando a segurança para o início do ciclo de desenvolvimento sem comprometer a velocidade de entrega.

Conduzir sessões de threat modeling em novas features e mudanças de arquitetura, identificando riscos e propondo controles antes da implementação.

Realizar code reviews de segurança e testes manuais em aplicações web, APIs e mobile, buscando vulnerabilidades como XSS, IDOR, SSRF e falhas de controle de acesso.

Implementar, manter e calibrar ferramentas de SAST, DAST, SCA e detecção de segredos integradas aos pipelines de CI/CD.

Fazer a triagem, priorização e acompanhamento das vulnerabilidades, apoiando as pessoas desenvolvedoras na correção com orientações práticas.Definir padrões e guias de desenvolvimento seguro, cobrindo autenticação, autorização, criptografia e tratamento de dados pessoais.

Disseminar a cultura de segurança por meio de treinamentos

Apoiar iniciativas de conformidade (LGPD, ISO 27001, SOC 2) e participar da resposta a incidentes envolvendo aplicações.Principais entregáveis de curto/médio prazo:

Mapear o cenário atual de segurança das aplicações, incluindo ferramentas em uso, backlog de vulnerabilidades e principais riscos dos produtos Gupy.

Evoluir SAST, SCA e detecção de segredos rodando nos pipelines de CI/CD dos repositórios críticos, com regras ajustadas para reduzir falsos positivos.

Implementar um fluxo de triagem e priorização com SLAs de correção por criticidade, acompanhado por indicadores como tempo médio de correção.

Incorporar a modelagem de ameaças ao fluxo de desenvolvimento de novas features de maior risco.

Publicar padrões e checklists de segurança para os times de Engenharia.Realizar ou coordenar testes de intrusão nas aplicações e APIs mais críticas, com plano de correção acordado com os times.Requisitos e qualificaçõesComo requisitos básicos, você deve ter:

Experiência sólida em segurança de aplicações, ou em desenvolvimento de software com forte atuação em segurança.

Conhecimento aprofundado do OWASP Top 10 e do OWASP API Security Top 10, além das principais classes de vulnerabilidades (injeção, XSS, IDOR, SSRF, falhas de autenticação e controle de acesso).

Capacidade de ler e revisar código, preferencialmente em JavaScript/TypeScript (Node.js).

Vivência com ferramentas de teste de segurança, como Burp Suite, OWASP ZAP, Semgrep, SonarQube, Snyk ou similares.

Experiência na integração de v