Currículo de cibersegurança: analista SOC, pentest e GRC com exemplos

Um bom currículo de cibersegurança informa sua trilha, como SOC, pentest, GRC ou segurança em nuvem, e a comprova com ferramentas, frameworks, certificações e resultados medidos. Analista SOC, pentester e consultor GRC estão na mesma área, mas têm rotinas diferentes, então não escreva um currículo genérico. Coloque as certificações no topo, fique em uma ou duas páginas e nunca revele vulnerabilidades de clientes. Veja como fazer isso, com exemplos e um modelo completo.

Comece pela trilha

Informe a trilha no título e direcione cada item a ela. A mesma função aparece como Analista de Segurança da Informação, Analista de Cibersegurança ou Security Analyst, então use a grafia exata da vaga.

• SOC e blue team: triagem de alertas, SIEM, EDR, resposta a incidentes, threat hunting.
• Pentest e red team: testes de web, rede e nuvem, relatórios, recomendações.
• GRC: ISO 27001, LGPD, análise de riscos, auditorias, normas do Banco Central.
• Engenharia e nuvem: IAM, hardening, regras de detecção, Terraform.

Da atividade aos resultados

Use volume de alertas, tempo de resposta, achados fechados e vulnerabilidades corrigidas. Nosso guia de conquistas explica o método. São exemplos. Use números que possa explicar e compartilhar.

Antes: Monitorei alertas de segurança no SOC.

Depois: Fiz a triagem de cerca de 150 alertas por turno no Microsoft Sentinel para 3.000 dispositivos, escrevi 12 regras KQL e reduzi falsos positivos em um terço.

Antes: Fiz testes de invasão.

Depois: Conduzi 20 testes de web e API por ano com Burp Suite e OWASP Top 10, com relatórios que levaram à correção de todos os achados críticos em 30 dias.

Antes: Ajudei na adequação à LGPD.

Depois: Mapeei dados de 12 áreas em uma empresa de 400 pessoas, conduzi análises de risco e fechei as principais não conformidades antes da auditoria ISO 27001.

Ferramentas e frameworks

• SIEM e EDR: Splunk, Microsoft Sentinel, QRadar, Elastic, Wazuh, CrowdStrike.
• Testes: Burp Suite, Nmap, Metasploit, Nessus, Wireshark.
• Nuvem e código: AWS, Azure, Kubernetes, Python, PowerShell, KQL.
• Frameworks: MITRE ATT&CK, NIST CSF, ISO 27001, CIS Controls, OWASP.

Cite uma ferramenta só se a usou, e mostre-a na experiência. Mencione a LGPD em uma experiência em que você realmente trabalhou com adequação, e não em uma lista solta. Veja nosso guia de palavras-chave ATS.

Certificações: seja exato

Informe nome completo, emissor e ano. São comuns CompTIA Security+ para começar, CySA+, GCIH ou OSCP para perfis técnicos, e CISSP, CISM, CISA ou ISO 27001 Lead Implementer para GRC e posições seniores. CISSP normalmente exige anos de experiência: sem ela, você é Associate of ISC2. Escreva «Security+ em andamento, prova em março de 2027» em vez de sugerir que já tem. Veja certificações no currículo.

Entrando na área: laboratórios que contam

Sem experiência paga, use seu laboratório, CTFs, TryHackMe ou Hack The Box, ferramentas no GitHub e artigos. Descreva fatos: «Laboratório SOC com Wazuh e Sysmon, 10 regras de detecção segundo o ATT&CK». Teste apenas sistemas com autorização, pois invasão de dispositivo pode ser crime. Profissionais de suporte e redes podem mostrar patches, gestão de acessos e resposta a phishing. Se vem do desenvolvimento, veja o currículo de engenheiro de software.

Proteja informações sensíveis

Não cite clientes de teste confidencial, vulnerabilidades específicas, nomes de sistemas internos ou detalhes de incidentes. «Cliente do setor financeiro» basta. Um currículo cuidadoso mostra bom julgamento, e isso já é uma habilidade de segurança.

Um modelo curto e completo

A pessoa e os números são fictícios, mas você pode usar o formato.

Paula Nunes | Analista SOC (N2) | Recife | Telefone | E-mail | LinkedIn | GitHub. CompTIA Security+ (2023), Microsoft SC-200 (2024).

Resumo: Analista SOC com 4 anos em operação 24/7. Sentinel, Defender, KQL e MITRE ATT&CK.

Experiência: Analista SOC, Nordeste Segurança, 2022 – atual. Cerca de 150 alertas por turno para 3.000 dispositivos. 12 regras de detecção, um terço a menos de falsos positivos. Mentora de 2 analistas N1. Analista de Suporte, Hospital Recife, 2020 – 2022. Patches e denúncias de phishing para 800 usuários.

Formação: Bacharelado em Ciência da Computação, 2020. Habilidades: Python, PowerShell, Azure, LGPD. Inglês avançado.

Erros comuns

• Um currículo genérico para todas as funções de segurança.
• Listas longas de ferramentas sem prova.
• Sugerir que já tem uma certificação que ainda está em andamento.
• Revelar clientes ou vulnerabilidades.
• Escrever «hacking ético» sem escopo, relatório ou resultado.

Os números que o leitor procura

Quem seleciona procura sistemas protegidos, tempo de resposta e vulnerabilidades corrigidas. Por exemplo: «Protegi 200 servidores e corrigi falhas críticas em menos de 3 dias». Não revele detalhes internos da empresa.

Em resumo

Confira trilha, certificações, ferramentas, três resultados e o link do GitHub. Compare o currículo com a vaga e retire o que não puder defender na entrevista.