Senior Security Engineer

turbi; São Paulo; On-site; BRL 180,000 - 300,000; Full time

Benefits offered by this job

Salário PJ competitivo

Plano de saúde SulAmérica

Plano odontológico Bradesco

Wellhub/Totalpass

TurbiFree mensal

Recesso remunerado 30 dias após 12 mês

Day Off no aniversário

Licença maternidade estendida

Licença paternidade

Bônus por metas

Job summary

A Turbi está contratando Senior Security Engineer para conduzir a segurança da plataforma, com foco em operações, vulnerabilidades e integração de segurança ao desenvolvimento. Você trabalhará próximo ao Principal Security Engineer, definindo arquitetura, estratégias e controles para reduzir riscos.

Você terá autonomia para criar caminhos seguros, com foco em reduzir falsos positivos, melhorar a postura de segurança e reagir rapidamente a incidentes, com a chance de impactar produtos e

Qualifications

• 5+ anos em segurança da informação com atuação prática.
• Experiência em SecOps (monitoramento, detecção e resposta a incidentes).
• Gestão de vulnerabilidades ponta a ponta (triagem até validação).
• Operações em nuvem com foco em segurança (IAM, rede, storage, gestão de chaves, postura) - preferência GCP.
• Experiência com SAST, DAST e SCA no CI/CD e Shift-Left Security.
• Revisão de código sob segurança (OAuth2, OIDC, SAML).
• Políticas de segurança e de acesso; aderência prática.
• Familiaridade com OWASP, NIST CSF e ISO 27001.
• Boa comunicação escrita e oral para público técnico e não técnico.
• Senso de dono e responsabilidade para acompanhar problemas até o fim.

Responsibilities

• Operar ciclo de vulnerabilidades de ponta a ponta: identificar, triagem, priorizar, atribuir, acompanhar e validar fechamento.
• Priorizar achados por risco com critérios de exploração, exposição e criticidade.
• Responder a alertas de segurança e conduzir incidentes: contenção, causa e melhorias.
• Acompanhar postura de segurança da nuvem: IAM, redes, segredos.
• Instalar e operar SAST/DAST/SCA no CI/CD com regras de bloqueio para reduzir falsos positivos.
• Revisar código com foco em autenticação e autorização (OAuth2, OIDC, SAML).
• Revisar políticas de segurança e de acesso; propor ajustes práticos.
• Apoiar campanhas de awareness, incluindo phishing simulations; medir resultados.
• Comunicar status de riscos e vulnerabilidades para gestão de produto e engenharia.
• Interagir com equipes de risco e privacidade para alinhamento de tratamento de dados e decisões de risco.

Skills

Security operations

Vulnerability mgmt

Cloud security (GCP)

CI/CD security

SAST

DAST

SCA

Threat modeling

OWASP/NIST 27001

Comunicação clara

Tools

SAST

DAST

SCA

CI/CD tooling

IAM (GCP)

SIEM/EDR

Kubernetes security

Job description

E aí, tudo azul por aí?

A Turbi é a locadora do futuro: 100% digital, movida a tecnologia, gente boa e paixão por transformar a forma como as pessoas se locomovem. A gente abre carro pelo app (sim, sem chave!) e acredita que inovação de verdade começa com um time engajado e com liberdade pra criar.

Estamos procurando uma pessoa para a posição de Senior Security Engineer, alguém que queira acelerar com a gente nessa jornada.

O seu papel por aqui:

Nesta posição de Senior Security Engineer, você vai operar a segurança da nossa plataforma no dia a dia e fazer o ciclo de vulnerabilidades andar de ponta a ponta. Você vai atuar em operações de segurança, na postura de segurança da nossa nuvem e na integração de segurança ao desenvolvimento, lado a lado com os times de produto e infraestrutura, para que os riscos sejam encontrados cedo e corrigidos rápido. Você trabalha em parceria com o Principal Security Engineer, que define a arquitetura e a estratégia de segurança.

Mais do que bloquear, a ideia é oferecer caminhos seguros que os times queiram usar, com autonomia, responsabilidade e espaço pra testar, errar e aprender.

O que você vai encarar no dia a dia:

• Operar o ciclo de vida de vulnerabilidades de ponta a ponta: identificar, triar, priorizar por risco, atribuir ao time dono, acompanhar a correção e validar o fechamento;
• Priorizar os achados com critério (exploitabilidade, exposição, criticidade do ativo e vulnerabilidades exploradas ativamente), com SLAs acordados e métricas de tempo de correção;
• Monitorar e responder a alertas de segurança e conduzir a resposta técnica a incidentes: contenção, análise de causa e ações de melhoria;
• Acompanhar a postura de segurança da nossa nuvem: configurações incorretas, excessos de permissão em IAM, exposição pública e higiene de segredos;
• Implantar e operar controles de SAST, DAST e SCA no CI/CD, com regras de bloqueio calibradas pra manter baixo o volume de falsos positivos;
• Revisar código sob a ótica de segurança, com foco em autenticação e autorização (OAuth2, OIDC, SAML), registrando achados de forma acionável;
• Revisar políticas de segurança e de acesso, verificando a aderência na prática e propondo ajustes objetivos;
• Apoiar campanhas de awareness, incluindo simulações de phishing, e medir os resultados;
• Comunicar o status de riscos e vulnerabilidades com clareza para gestores de produto e engenharia: o que está aberto, o que está vencendo e o que precisa de decisão;
• Atuar junto às pessoas responsáveis por risco e privacidade, alinhando priorização, tratamento de dados pessoais e decisões de aceitação de risco;

O que esperamos de você:

• 5+ anos em segurança da informação com atuação operacional prática, ou experiência equivalente comprovada;
• Vivência em SecOps (monitoramento, detecção e resposta a incidentes), já tendo atuado como líder técnico em incidentes reais;
• Experiência em gestão de vulnerabilidades ponta a ponta, da triagem à validação da correção;
• Operações em nuvem com foco em segurança (IAM, rede, armazenamento, gestão de chaves e postura), de preferência em GCP;
• Experiência prática com SAST, DAST e SCA no CI/CD e com Shift-Left Security;
• Revisão de código sob a ótica de segurança, incluindo OAuth2, OIDC e SAML;
• Experiência em revisão de políticas de segurança;
• Familiaridade com OWASP, NIST CSF e ISO 27001;
• Comunicação clara, escrita e oral, para público técnico e não técnico;
• Senso de dono: acompanhar o problema até o fim, inclusive a parte que não é glamourosa, e humildade pra reconhecer erros e ajustar a rota.

Vai brilhar ainda mais se você tiver:

• Experiência com campanhas de awareness e simulações de phishing;
• MITRE ATT&CK aplicado à detecção e vivência com SIEM e EDR;
• Conhecimento em segurança de containers e Kubernetes (imagens, políticas de admissão, RBAC);
• Programação (Python, Go ou TypeScript) pra automatizar triagem e relatórios;
• Privacidade aplicada à operação, com familiaridade com a LGPD;
• Certificações como CEH ou GCP Security Engineer (valorizadas, mas não obrigatórias).

O que a Turbi oferece pra te apoiar nessa jornada?

• Salário competitivo no modelo PJ, alinhado com o mercado;
• Saúde em dia: plano de saúde SulAmérica pra cuidar de você.
• Sorriso garantido: plano odontológico Bradesco.
• Corpo em movimento: acesso ao Wellhub ou Totalpass pra treinar do seu jeito.
• TurbiFree todo mês: R$ 1.000 pra usar nossos carros como quiser.
• Pausa merecida: 30 dias de recesso remunerado depois de 12 meses com a gente.
• Parabéns com folga: Day Off no seu aniversário pra comemorar como quiser.
• Licença maternidade estendida: mais tempo pra viver esse momento com tranquilidade.
• Licença paternidade: presença garantida nos primeiros dias mais importantes.
• Bônus: Atrelado ao atingimento de metas da Turbi e individuais.

Nosso jeito de trabalhar:

A Turbi é feita por gente real, que erra, aprende, cresce e faz acontecer. Por aqui, autonomia anda junto com responsabilidade. A gente valoriza um ambiente seguro pra falar o que pensa, construir com liberdade e ter conversas difíceis com respeito.

A gente valoriza pessoas que aprendem, se desafiam e querem gerar impacto de verdade.