Os anúncios de vaga descrevem uma escassez desesperadora. Os candidatos juniores descrevem enviar duzentas candidaturas sem resposta. As duas coisas são verdadeiras, e a explicação importa.
A escassez tem um formato específico
A demanda é real. O US Bureau of Labor Statistics projeta que o emprego de analistas de segurança da informação cresça 28,5% entre 2024 e 2034, um aumento de 52.100 vagas, contra um crescimento de 3,1% em todas as ocupações. A adoção de novas tecnologias, incluindo inteligência artificial, amplia a superfície de ataque e as obrigações regulatórias ao mesmo tempo.
Mas a demanda não está distribuída de forma uniforme entre os níveis de experiência, e é essa parte que se perde.
O que as organizações querem: alguém que já lidou com incidentes reais, consegue tomar uma decisão às duas da manhã, entende os sistemas que está defendendo, e não vai ignorar uma invasão genuína nem derrubar a produção por causa de um falso positivo.
O que sobra: pessoas com certificações, laboratórios caseiros, experiência em capture-the-flag e entusiasmo, que nunca foram responsáveis por um ambiente de produção.
Quase ninguém contrata por potencial, e quase todo mundo reclama que gente experiente é escassa.
Esses dois fatos são o mesmo fato. O funil está bloqueado logo no primeiro passo, e está bloqueado porque as funções que costumavam gerar experiência em segurança foram eliminadas ou terceirizadas.
A consequência prática para um empregador é que o caminho mais rápido para uma equipe de segurança experiente é a progressão interna a partir de funções técnicas, não a contratação externa em um mercado onde todo mundo disputa o mesmo grupo pequeno.
O que a trilha cobre
O escopo: redes, ataques e defesa, identidade, segurança em nuvem, resposta a incidentes, perícia forense e governança.
Quatro áreas.
Fundamentos. Redes, sistemas operacionais, identidade e criptografia, no nível necessário para raciocinar sobre o que um atacante realmente pode fazer.
Defesa e detecção. Fortalecimento, monitoramento, engenharia de detecção e resposta.
Entendimento ofensivo. Como os ataques funcionam, para que as defesas ataquem o método, não apenas a categoria.
Governança e risco. Frameworks, regulação, risco de terceiros e o trabalho de tomar decisões de segurança dentro de uma organização que tem outras prioridades.
Por que certificações não resolveram o problema
Uma quantia considerável foi gasta em certificação e a escassez de gente experiente persiste. O motivo vale a pena ser dito sem hostilidade, porque certificações fazem algo real, só que não é o que está faltando.
Uma certificação demonstra que alguém conhece um conjunto definido de conteúdo. Isso é genuinamente útil. Funciona como filtro de esforço e de conhecimento básico, e várias são respeitadas com bons motivos.
O que ela não demonstra é julgamento sob incerteza, que é o que as funções escassas exigem.
Decidir o que importa. Um scanner retorna quatrocentos achados. Saber quais três são realmente exploráveis nesse ambiente é experiência, não conhecimento.
Trabalhar com informação incompleta. Um alerta dispara à meia-noite. Algo pode estar acontecendo. A escolha é escalar e atrapalhar o negócio ou esperar e arriscar a invasão se espalhar, e as duas opções às vezes estão erradas.
Entender o ambiente específico. Quais sistemas importam, o que é normal ali, onde estão as dependências não documentadas. Isso não dá para certificar porque é local.
Construir o argumento. A maior parte do trabalho de segurança envolve convencer pessoas com outras prioridades a aceitar atrito. Isso é uma habilidade de comunicação e organizacional.
A implicação não é que a certificação não vale nada. É que certificação somada a nenhuma responsabilidade operacional não produz o que o mercado está sem, e organizações que financiam a primeira e não oferecem a segunda estão comprando metade de alguma coisa.
Onde isso se encaixa no domínio
Cibersegurança é a quinta de oito trilhas no domínio de IA, dados e computação da Astra Trainer, e é onde recai boa parte da demanda criada pelas outras trilhas. Adotar inteligência artificial, migrar para infraestrutura em nuvem e conectar mais sistemas ampliam o que precisa ser defendido.
Apoia-se em sistemas de TI e redes de computadores e em ciência da computação, porque o julgamento em segurança exige saber como a coisa realmente funciona, e se conecta com computação em nuvem e DevOps, de onde vem boa parte da exposição moderna. Você pode ver as oito trilhas aqui.
A maioria dos vazamentos não é sofisticada
O marketing de segurança dá ênfase a ameaças persistentes avançadas e técnicas inéditas. Os relatórios de incidentes contam outra história, e essa diferença deveria moldar para onde vai o dinheiro do treinamento.
As rotas de entrada mais recorrentes são nada sofisticadas. Credenciais roubadas, adivinhadas, reaproveitadas de outro vazamento ou obtidas por phishing. Sistemas sem correções para vulnerabilidades divulgadas e resolvidas meses ou anos antes. Serviços expostos à internet que nunca deveriam estar, incluindo interfaces de armazenamento e gestão deixadas abertas por erro de configuração. Permissões excessivas que deixam uma brecha pequena virar uma grande. Acesso de terceiros por meio de um fornecedor com controles mais fracos.
Quatro implicações diretas.
O básico é o trabalho. Inventário de ativos, correções, autenticação multifator, privilégio mínimo, backup e recuperação, logging. Nada glamouroso, difícil de sustentar, e responsável pela maior parte da redução de risco disponível.
Você não consegue proteger o que não sabe que tem. Inventário de ativos é o controle menos interessante e aquele cuja ausência explica a maior parte do resto.
Identidade é o perímetro agora. Uma vez que o trabalho acontece por serviços de nuvem e endpoints remotos, a fronteira de rede deixa de ser o ponto de controle e as credenciais viram o alvo.
Detecção importa mais do que só prevenção. Presumir o comprometimento e construir a capacidade de perceber isso rapidamente é uma postura melhor do que presumir que o perímetro vai resistir.
As funções genuinamente difíceis de preencher
Ser específico aqui ajuda as organizações a direcionar o treinamento para as lacunas reais.
Engenheiros de detecção. Pessoas que escrevem e ajustam as regras que decidem o que é percebido. Isso exige conhecer tanto a técnica do atacante quanto o ambiente específico, e existem muito poucos profissionais assim.
Respondentes de incidentes com experiência real de incidentes, diferente de exercícios de mesa.
Engenheiros de segurança em nuvem. A segurança em nuvem difere o suficiente da segurança de infraestrutura tradicional para que a transferência não seja automática, e a demanda ultrapassou muito a oferta.
Engenheiros de segurança de aplicações que realmente conseguem ler código, um grupo bem menor do que o número de pessoas com esse título.
Especialistas em segurança de tecnologia operacional e industrial, onde a prática de segurança de TI com frequência piora as coisas se aplicada sem entendimento de processo.
Arquitetos de segurança que conseguem desenhar, e não só avaliar.
A característica comum é que cada uma exige profundidade em outra coisa além de segurança. Essa é a constatação que deveria determinar a estratégia de recrutamento.
As funções, nomeadas
Analistas de segurança, em centros de operações.
Engenheiros de detecção.
Respondentes de incidentes e analistas forenses.
Pentesters e operadores de red team.
Engenheiros de segurança de aplicações.
Engenheiros de segurança de nuvem e infraestrutura.
Especialistas em gestão de identidade e acesso.
Profissionais de governança, risco e compliance.
Analistas de inteligência de ameaças.
Quem pode ser treinado para isso
Administradores de sistemas. A conversão mais forte disponível. Sabem como os sistemas funcionam, o que é normal, e onde estão as dependências não documentadas. Conhecimento de segurança somado a essa base produz um defensor útil rapidamente.
Engenheiros de rede. Para segurança de rede e detecção, já dominando o panorama do tráfego.
Desenvolvedores de software. Para segurança de aplicações, onde a capacidade de ler código é a parte escassa e não dá para adquirir num curso.
Engenheiros de nuvem e plataforma. Para segurança em nuvem, uma das lacunas mais difíceis de preencher externamente.
Equipe de service desk e suporte. Para operações de segurança, já com conhecimento de comportamento de usuário e instinto de tratamento de incidentes.
Engenheiros de controle e automação industrial. Para segurança de tecnologia operacional, onde o entendimento de processo é o que falta à equipe de segurança geral.
Auditores e profissionais de risco. Para governança e compliance, onde a metodologia já se transfere.
Militares e profissionais de segurança pública com formação relevante, principalmente para investigação e resposta.
Limites legais e obrigações regulamentadas. Acesso não autorizado a sistemas de computador é crime na maioria das jurisdições, e testes de segurança exigem autorização por escrito explícita definindo o escopo. Notificação de vazamento, comunicação de incidentes e obrigações de segurança específicas de setor são definidas por lei, variam por jurisdição e têm penalidades. O tratamento de evidências forenses tem requisitos que afetam sua admissibilidade. A Astra Trainer constrói capacidade defensiva e analítica e consciência sobre onde esses deveres se aplicam. Não autoriza testes em nenhum sistema, não é aconselhamento jurídico e não confere nenhuma certificação ou status profissional.
O que levar disso
A demanda é real, projetada em 28,5% de crescimento até 2034, e está concentrada na ponta experiente.
Candidatos juniores sobram e estão bloqueados, o que torna isso um problema de progressão, não de oferta.
Certificações demonstram conhecimento, não julgamento, e é por isso que os orçamentos de certificação não fecharam a lacuna.
A maioria dos vazamentos usa métodos nada sofisticados contra fraquezas conhecidas, então o básico bem-feito entrega a maior parte da redução de risco disponível.
E toda função de segurança genuinamente difícil de preencher exige antes profundidade em outra coisa. As pessoas capazes de preenchê-las já estão nas suas equipes de infraestrutura, rede e desenvolvimento.
Existe mesmo escassez de talentos em cibersegurança?
Na ponta experiente, sim. O BLS projeta 28,5% de crescimento para analistas de segurança da informação até 2034. No nível iniciante, os candidatos sobram e com frequência não conseguem uma primeira vaga, então o funil está bloqueado logo no primeiro passo, não faltando gente.
Por que as certificações não resolveram isso?
Porque certificação demonstra conhecimento de um conjunto definido de conteúdo, enquanto as funções escassas exigem julgamento sob incerteza: decidir quais achados importam, agir com informação incompleta, entender um ambiente específico e convencer pessoas com outras prioridades.
O que causa a maioria dos vazamentos?
Credenciais roubadas, adivinhadas, reaproveitadas ou obtidas por phishing; sistemas sem correção para vulnerabilidades divulgadas há muito tempo; serviços expostos à internet sem intenção; permissões excessivas; e acesso via terceiros com controles mais fracos.
Quais funções de segurança são mais difíceis de preencher?
Engenheiros de detecção, respondentes de incidentes experientes, engenheiros de segurança em nuvem, engenheiros de segurança de aplicações que conseguem ler código, especialistas em segurança de tecnologia operacional, e arquitetos que desenham em vez de só avaliar.
Quem converte melhor para segurança?
Administradores de sistemas em primeiro lugar, depois engenheiros de rede para detecção, desenvolvedores para segurança de aplicações, engenheiros de nuvem para segurança em nuvem, equipe de suporte para operações de segurança, e engenheiros de controle para segurança industrial.