Segurança de Dados
Dos fundamentos que nunca mudam ao que o mercado realmente faz com eles
WHOAMI
Lukas Alves da Silva
CyberSecurity Specialist · Cloud, Data & AI Security · Inter&Co (Banco Inter) · Natural de Itamarandiba-MG
Segurança em Cloud
AWS Certified Security Specialty
Arquitetura e Operação
AWS Solutions Architect
AWS SysOps Administrator
Cloud Native e DevOps
KCNA · Kubernetes and Cloud Native Associate
DEPC · DevOps Essentials Professional
Banco de Dados
Microsoft · Querying Data with Transact-SQL
Inteligência Artificial
CompTIA · AI Essentials
Base em Cloud e Dados
· AWS Cloud Practitioner · Azure Fundamentals · Microsoft Database Fundamentals
10 certificações em segurança, cloud, plataforma, dados e IA · English B2 (CEFR)
ONDE EU TRABALHO
Inter: de financeira a banco global
De uma financeira de Belo Horizonte a uma plataforma digital com clientes no Brasil e nos EUA
A financeira
Intermedium CFI nasce em BH, da família Menin (MRV): crédito imobiliário e consignado.
Vira banco
Carta patente de banco múltiplo do Banco Central: nasce o Banco Intermedium.
Virada digital
Conta digital gratuita em 2014 e, em 2017, o nome muda para Banco Inter.
Bolsa e Super App
IPO na B3, plataforma de investimentos e, em 2020, vira Super App.
Inter&Co
Ações na Nasdaq (INTR), compra da americana Usend e escritório em Miami.
Global Entry
Globalização do Super App. Mais de 40 milhões de clientes e a Seven, assistente de IA.
Num banco 100% digital, o dado do cliente é o próprio produto.
UM COMBINADO ANTES DE COMEÇAR
NÃO SE ASSUSTEM!
Pedir para alguém não pensar em algo faz a pessoa pensar justamente nisso.
Daniel Wegner, 1987: White Bears and Other Unwanted Thoughts
O psicólogo de Harvard pediu que as pessoas não pensassem num urso branco e tocassem uma campainha sempre que pensassem. Elas tocaram várias vezes.
O efeito do urso branco
Para evitar um pensamento, a mente fica vigiando se ele aparece, e é essa vigilância que o traz de volta. Por isso "não se assuste" assusta.
O combinado: para cada problema que aparecer hoje, vamos ver também como ele se resolve. Ninguém precisa entender tudo agora, só saber que existe solução e onde procurar.
🐻❄️ QUEM FAZ O QUÊ
Como é um time de segurança
Segurança não é uma pessoa só: são quatro frentes, cada uma com especialidades que se complementam
Define as regras
Constrói protegido
★ É onde eu trabalho hoje.
Vigia e responde
Juntas, formam o Blue Team.
Ataca para testar a defesa
Ataque e defesa juntos: Purple Team.
O QUE VEM HOJE
Roteiro da apresentação
Fundamentos
O que é um dado, onde ele mora, quem regula, quanto custa perdê-lo e o vocabulário da área: estados, ciclo de vida, classificação, criptografia, hash e acesso.
Ameaças e risco
O que dá errado no mundo real, como se fala de risco e por que backup é o controle mais subestimado.
O mercado
LGPD na prática, nuvem, as siglas das ferramentas (com DSPM) e IA.
Carreira
Onde as pessoas de segurança trabalham, como começar ainda na faculdade, quatro apostas para a carreira e as portas de entrada no Inter.
BLOCO 1
Fundamentos
Conceitos que valem para qualquer tecnologia, qualquer empresa e qualquer década. São eles que você vai reconhecer em toda ferramenta que aparecer depois.
UMA BRINCADEIRA ANTES
Se você pudesse voltar no tempo e dizer só três palavras pra você mesmo, o que diria?
Pensem por alguns segundos. Vale qualquer coisa, desde que sejam só três palavras.
FÁCIL
BTC. 2009. TUDO.
DADO, INFORMAÇÃO, DECISÃO
BTC. 2009. TUDO.
Três palavras soltas que, com contexto, viram a mensagem mais valiosa da história
BTC, 2009, TUDO
Uma sigla, um ano e uma palavra. Sozinhos não dizem nada.
Em 2009, ponha tudo em bitcoin
Com o contexto (o bitcoin nasceu em 2009), as palavras passam a significar algo.
Investir tudo
Quem entende age. Em 2010, alguém pagou 10 mil bitcoins por duas pizzas.
| Quantidade | Em outubro de 2009, você pagaria | Em 12/10/2026, valeria |
|---|---|---|
| 1 bitcoin | R$ 0,0014 (menos de 1 centavo) | R$ 411 mil |
| 10 bitcoins | R$ 0,014 (pouco mais de 1 centavo) | R$ 4,1 milhões |
| 10 mil bitcoins (as pizzas) | R$ 13,60 | R$ 4,1 bilhões |
O valor nunca esteve nas palavras, e sim no contexto. É exatamente isso que um atacante procura.
O PONTO DE PARTIDA
Afinal: o que é um dado?
Protegemos dados porque eles viram informação e decisão. O risco nunca está no byte isolado: está no que se consegue deduzir dele.
| Dado isolado | Cruzado, vira informação | Que gera uma decisão |
|---|---|---|
| Número: 48213095716 | Com pontuação, 482.130.957-16 vira um CPF. Ao lado de um nome, identifica uma pessoa: virou dado pessoal | Abrir conta, pedir crédito ou aplicar golpe em nome dela |
| Saúde: 38,8 | Temperatura corporal de João às 9h, somada ao histórico dele | Remédio / Internação |
| Pix: R$ 4.800 às 3h | Cliente que nunca transfere de madrugada, celular novo, conta destino aberta ontem | O antifraude bloqueia e pede confirmação |
| Crédito: salário de R$ 6 mil no dia 5 | Somado às faturas, parcelas e ao score, mostra quanto a pessoa aguenta pagar | O banco libera limite e oferece crédito pré-aprovado |
Regra prática: se você não sabe onde o dado está, quem acessa e por quê, você não está protegendo, está torcendo.
🐻❄️ O MODELO MENTAL DA ÁREA
A tríade CID (em inglês, CIA)
O modelo mental mais usado da área: toda falha de segurança quebra pelo menos um destes três
Confidencialidade
Só quem deve ver, vê.
Quebra: vazamento de base de clientes, funcionário consultando dados de celebridade, bucket público.
Controles: criptografia, controle de acesso, mascaramento.
Integridade
O dado não é alterado indevidamente.
Quebra: alteração de saldo, adulteração de log, erro que corrompe registros.
Controles: hash, assinatura digital, controle de versão, trilha de auditoria.
Disponibilidade
O dado está lá quando é preciso.
Quebra: ransomware, exclusão acidental, queda prolongada, DDoS.
Controles: backup, redundância, plano de recuperação.
Em inglês é Availability, por isso o "A" da sigla
🐻❄️ ANTES DE PROTEGER, ACHAR
Onde os dados estão
Antes da nuvem, o dado morava em equipamento que a empresa segura na mão. Hoje os dois modelos convivem, e cada um vaza de um jeito
| Onde | Tipo | Exemplo num banco |
|---|---|---|
| On-premises: o equipamento está com você | ||
| Pen drive e cartão SD | Mídia removível: cabe no bolso e sai do prédio sem ninguém ver | Planilha de clientes levada para casa |
| HD externo, CD e DVD | Mídia de backup e arquivo: fica anos esquecida numa gaveta | Backup antigo, CD com extratos para auditoria |
| Desktop, notebook e servidor próprio | Disco local: dentro da máquina ou no rack do datacenter da empresa | Relatório baixado no desktop, banco no servidor da agência |
| Nuvem (AWS): o equipamento é do provedor, a configuração é sua | ||
| Amazon RDS | Banco relacional (SQL): tabelas com colunas fixas, ligadas por chaves | Clientes, contas e transações |
| Amazon DynamoDB | Banco não relacional (NoSQL): documentos JSON, cada um com seus campos | Sessão do app, preferências, limites do Pix |
| Amazon S3 | Objeto: o arquivo inteiro num bucket, acessado por API | Foto do documento, comprovante, backup, logs |
| Amazon EBS | Bloco: um disco virtual ligado a um servidor | Disco do servidor, banco instalado na máquina |
On-premises vaza por perda e roubo; nuvem vaza por configuração errada.
PARADO, VIAJANDO OU ABERTO
Os três estados do dado
Cada estado tem seus próprios controles, e o mais difícil ainda é o terceiro
Em repouso (at rest)
Parado em disco, banco, backup, bucket, planilha no notebook.
Controles: criptografia de disco e de banco, gestão de chaves (KMS, Key Management Service, o cofre das chaves), classificação, retenção e descarte.
Em trânsito (in transit)
Viajando pela rede entre cliente, API, serviços e parceiros.
Controles: HTTPS (o cadeado do navegador) em vez de HTTP puro, TLS e VPN.
Em uso (in use)
Carregado em memória, sendo processado, exibido na tela, colado num prompt de IA.
Controles: acesso mínimo, mascaramento na tela, ambientes isolados, computação confidencial.
A maioria dos vazamentos recentes não quebra criptografia: pega o dado enquanto ele está legítimo e aberto na tela de alguém, ou numa cópia esquecida.
🐻❄️ QUEM FISCALIZA
Quem regula um banco como o Inter
Banco está entre os setores mais regulados do Brasil: cada órgão olha para um pedaço do negócio, e todos olham para os dados
Banco Central do Brasil
Desde 1964. Autoriza e fiscaliza bancos, cuida do Pix e do Open Finance e exige política de segurança cibernética e regras para uso de nuvem.
Comissão de Valores Mobiliários
Desde 1976. A "xerife" do mercado de capitais: investimentos, corretora e informações para acionistas. Vazar dado privilegiado é crime.
Conselho de Controle de Atividades Financeiras
Desde 1998. Unidade de inteligência contra lavagem de dinheiro. O banco comunica operações suspeitas e não pode avisar o cliente.
Autoridade Nacional de Proteção de Dados
Desde 2019. Fiscaliza a LGPD (Lei Geral de Proteção de Dados): o uso de dado pessoal, recebe aviso de incidente e aplica multas.
SEC e reguladores dos EUA
Com ações na Nasdaq, o Inter&Co também presta contas à SEC, a "CVM americana", e cumpre a SOX, lei americana que cobra controle sobre quem acessa e altera dado financeiro.
As regras que mais aparecem no dia a dia: LGPD (dado pessoal), sigilo bancário e SOX (controles internos). Banco só abre com autorização do Banco Central.
O QUE A LEI PROTEGE
Dado pessoal e dado sensível
Definições da Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018, art. 5º), a base de tudo que se faz com dado pessoal no Brasil
Dado pessoal
Informação relacionada a pessoa natural identificada ou identificável.
Exemplos: nome, CPF, e-mail, IP, localização, cookie e ID do celular.
Em inglês: PII (Personally Identifiable Information).
A placa do carro
Sozinha é só letra e número, mas, cruzada com um cadastro, leva direto ao dono. Dado pessoal é tudo que chega a uma pessoa.
Dado pessoal sensível
Subconjunto com proteção reforçada: origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado referente à saúde ou à vida sexual, dado genético e biométrico.
O diário trancado
Não diz só quem você é, diz o que você é por dentro: saúde, fé, opinião. Depois que alguém lê, não tem volta.
Por que a distinção importa na prática
Dado sensível tem bases legais mais restritas, exige controles mais fortes (criptografia, acesso mínimo, registro de quem olhou) e gera sanção maior quando vaza. Um CPF exposto é ruim; um laudo médico exposto é irreversível: a pessoa não troca de diagnóstico como troca de senha.
Crianças e adolescentes têm regra própria na lei e estão entre as prioridades de fiscalização da ANPD para 2026-2027.
🐻❄️ NADA É PARA SEMPRE
O ciclo de vida do dado
Auditor pergunta: "Me explique esse dado."
| Etapa | Pergunta |
|---|---|
| 1 · Coleta | Só o necessário, com base legal e finalidade declarada. |
| 2 · Armazenamento | Onde, cifrado como, por quanto tempo, com que backup. |
| 3 · Uso | Quem acessa, para quê, com qual registro. |
| 4 · Compartilhamento | Parceiros, APIs, terceiros: o risco viaja junto. |
| 5 · Arquivamento | Dado frio, acesso restrito, custo menor. |
| 6 · Descarte | Exclusão segura e comprovável no prazo. |
Minimização: o controle mais barato que existe
Dado que você não coletou não vaza, não custa armazenamento, não precisa de criptografia e não aparece em processo sancionador. Antes de perguntar "como protejo este dado?", pergunte "preciso mesmo dele?".
🐻❄️ NEM TUDO VALE O MESMO
Classificação de dados
Sem rótulo não há proteção proporcional: você acaba protegendo tudo igual, ou seja, mal
| Nível | Exemplos | Impacto se vazar | Controle típico |
|---|---|---|---|
| Público | Site institucional, release, preço de tabela | Nenhum | Controle de integridade apenas |
| Interno | Organograma, procedimento, ata de reunião | Baixo, constrangimento | Login corporativo |
| Confidencial | Base de clientes, contrato, código-fonte | Alto: multa, perda de clientes | Acesso por necessidade, criptografia, log |
| Restrito | Dado sensível, chave criptográfica, credencial | Severo e às vezes irreversível | Acesso nominal e aprovado, cofre, auditoria contínua |
Rótulo automático
Suítes corporativas, como o Microsoft Purview, já vêm com classificação: aplicam o rótulo sozinhas em arquivo, e-mail e coluna de banco.
Quem classifica não é a área de segurança: é quem é dono do dado no negócio. Segurança define a régua e cobra.
🐻❄️ CADEADO E CHAVE
Criptografia em uma ideia só
Embaralhar o dado para que só quem tem a chave consiga ler de novo
Embaralhar
A chave transforma a mensagem em bagunça sem sentido, e só a chave certa desfaz.
Exemplo: o saldo R$ 5.230 vira 8f3a...b21c.
O segredo está na chave
O jeito de embaralhar é público e testado por todos. O que protege é a chave, então ela precisa ser bem guardada.
O cadeado de bicicleta
Todo mundo conhece o modelo e pode comprar um igual. Sem os números certos, ninguém abre: eles são a chave.
Regra de ouro: nunca invente sua própria criptografia. Use bibliotecas conhecidas.
UM POUCO DE HISTÓRIA
De César ao Jogo da Imitação
A ideia é a mesma há 2 mil anos: uma regra conhecida e um segredo
Cifra de César
Cada letra anda 3 casas no alfabeto: A vira D, B vira E. CASA vira FDVD. A chave é o número 3.
Só 25 chaves
Basta testar todos os deslocamentos possíveis. À mão, em poucos minutos, a mensagem aparece.
Máquina Enigma
Os alemães trocavam a chave todo dia: cerca de 159 quintilhões de combinações possíveis.
Alan Turing
O filme de 2014 conta como Turing e sua equipe criaram a Bombe, máquina que achava a chave do dia.
AES
Mesma ideia, com chave tão grande que testar todas levaria mais que a idade do universo.
A Enigma também caiu por erro humano: mensagens previsíveis, como a previsão do tempo, davam pistas.
🐻❄️ MÃO ÚNICA
Hash não é criptografia
Confundir os dois é o erro número um em prova e em entrevista de emprego
Tem volta
Embaralha o dado e a chave certa desembaralha. Serve para o que você vai ler depois: cartão, documento, mensagem.
Não tem volta
Vira um código de tamanho fixo, sem chave e sem volta. Serve para conferir: o arquivo chegou inteiro? A senha bate?
O liquidificador
Da fruta sai o suco, mas do suco ninguém volta à fruta. A mesma fruta sempre dá o mesmo suco: dá para comparar sem ver a fruta.
Site sério guarda só o hash da senha (com bcrypt ou Argon2). Se te manda a senha antiga por e-mail, guarda errado.
🐻❄️ A IMPRESSÃO DIGITAL DO ARQUIVO
Baixou um programa? Confira o hash
Sites oficiais publicam o hash ao lado do download: é a impressão digital do arquivo original
python.org
Na página da versão, tabela Files, coluna SHA-256 checksum.
releases.ubuntu.com
Na lista de arquivos, abra o SHA256SUMS: um hash por imagem ISO.
videolan.org
Clique em Download: a página de agradecimento mostra o SHA-256 checksum.
Calcule o seu (shasum -a 256 no macOS, Get-FileHash no Windows) e compare caractere por caractere.
QUEM É VOCÊ E O QUE PODE
Identidade e acesso
Na prática do mercado, é aqui que a maioria dos incidentes é vencida ou perdida
Autenticação
Quem é você? Algo que você sabe (senha), tem (celular) ou é (biometria). Dois juntos: MFA (autenticação multifator).
A recepção do prédio
A recepção confere seu documento e sua foto. Só quer saber: você é quem diz ser?
Autorização
O que você pode fazer? Estar autenticado não libera tudo: estagiário não exporta a base de clientes.
O crachá dos andares
Lá dentro, o crachá abre só as catracas do seu andar. Entrar no prédio não abre o cofre.
Auditoria
O que você fez? Log de acesso íntegro e guardado. Sem ele, incidente vira discussão de opinião.
Princípios: menor privilégio, segregação de funções, negação por padrão, revisão de acessos e Zero Trust.
BLOCO 2
Ameaças e risco
O que efetivamente dá errado, por que quase sempre começa em algo banal e como as defesas se organizam.
O QUE ESTÁ EM JOGO
Quanto custa um vazamento de dados
Relatório IBM Cost of a Data Breach 2026: 602 organizações que sofreram violação entre mar/2025 e fev/2026
US$ 4,99 mi
Custo médio global de uma violação de dados, recorde histórico e 12% acima do ano anterior.
247 dias
Tempo médio para identificar e conter uma violação. O número voltou a subir depois de cinco anos de queda.
1 em 4
Violações maliciosas em que o atacante usou IA. Ataques com IA cresceram 56% em um ano.
| Para onde vai o dinheiro | O que entra na conta |
|---|---|
| Detecção e resposta | Forense, consultoria externa, horas extras do time, gestão de crise |
| Notificação | Avisar titulares e a ANPD, central de atendimento, assessoria jurídica |
| Perda de negócio | Clientes que cancelam, sistemas parados, contratos e vendas perdidos |
| Multas e processos | LGPD: até 2% do faturamento no Brasil, limitado a R$ 50 mi por infração, além de ações judiciais |
Fonte: IBM Cost of a Data Breach Report 2026 • LGPD, art. 52
🐻❄️ O QUE DÁ ERRADO DE VERDADE
As ameaças que realmente aparecem
Ordenadas por frequência no mundo real, não por dramaticidade
Phishing e engenharia social
Principal vetor inicial de violações. Agora com deepfake e texto gerado por IA, sem os erros de português que denunciavam.
Erro de configuração
Bucket público, banco exposto na internet, permissão ampla demais em nuvem. Barato de errar, caro de descobrir.
Credencial vazada
Senha reaproveitada, chave de API commitada no repositório, token sem expiração.
Ransomware
Cifra os dados e ainda ameaça publicá-los. Presente em cerca de 4 de cada 10 violações e em alta há quatro anos.
Ameaça interna
De má-fé ou por descuido. Acesso legítimo usado de forma ilegítima. O controle aqui é log e menor privilégio.
Dados na sombra
Cópia em planilha, base de teste com dados reais, ferramenta de IA não aprovada. Ninguém protege o que não sabe que existe.
Fontes: IBM Cost of a Data Breach 2026; Verizon DBIR
CASOS REAIS
Casos globais que mudaram o mercado
Quase nenhum começou com técnica sofisticada: patch atrasado, configuração errada, senha sem MFA
| Caso | O que aconteceu | Consequência |
|---|---|---|
| Enron ↗ (EUA, 2001) | Fraude contábil: dívidas escondidas em empresas de fachada, com balanços aprovados pela auditoria Arthur Andersen | Falência, a Arthur Andersen fechou e, junto com o caso WorldCom (2002), levou o Congresso a criar a SOX |
| Equifax ↗ (EUA, 2017) | Falha conhecida no Apache Struts sem correção; dados de ~147 milhões de pessoas | Acordo de até US$ 700 mi com FTC e estados; CEO deixou o cargo |
| Yahoo ↗ (2013-14) | 3 bilhões de contas expostas, revelado só em 2016 | Verizon reduziu em US$ 350 mi o preço de compra da empresa |
| Uber ↗ (2016) | Dados de 57 milhões de pessoas; empresa pagou o atacante para ficar em silêncio | Ex-diretor de segurança condenado criminalmente por ocultar o incidente |
| Capital One ↗ (EUA, 2019) | Configuração errada na AWS; ~106 milhões de clientes | Multa de US$ 80 mi do regulador e acordo de US$ 190 mi em ação coletiva |
| Change Healthcare ↗ (EUA, 2024) | Ransomware via acesso remoto sem MFA; ~190 milhões de pessoas | Custos acima de US$ 2 bi para a UnitedHealth, resgate de US$ 22 mi e hospitais sem faturar por semanas |
Esconder sai mais caro: no caso Uber, a punição veio do acobertamento, não do vazamento.
CASOS NACIONAIS
E no Brasil?
Os maiores casos recentes não quebraram criptografia: usaram uma credencial legítima, quase sempre de um fornecedor
| Caso | O que aconteceu | Consequência |
|---|---|---|
| C&M Software ↗ (jul/2025) | Funcionário de TI vendeu a própria credencial por R$ 15 mil; com ela, saíram Pix das contas reserva de bancos no BC | BMP Money Plus (BaaS) perdeu R$ 541 mi; funcionário preso; BC endureceu regras para fornecedores |
| Sinqia / HSBC ↗ (ago/2025) | Credenciais legítimas de fornecedores de TI usadas para desviar recursos via Pix | Cerca de R$ 710 mi desviados, a maior parte bloqueada a tempo |
| BTG Pactual ↗ (mar/2026) | Cerca de R$ 100 mi saíram da conta reserva via Pix para contas laranja | Pix suspenso por um dia; maior parte recuperada; causa sob investigação da PF |
| iFood ↗ (nov/2021) | Conta de terceirizado com privilégio demais trocou nomes de restaurantes por mensagens políticas | Multa de R$ 1,5 mi do Procon Carioca |
| Megavazamento ↗ (jan/2021) | 223 milhões de CPFs com renda, score e fotos à venda em fórum | PF prendeu o vendedor; origem nunca comprovada; ações coletivas ainda correm |
| ConecteSUS ↗ (dez/2021) | Grupo Lapsus$ invadiu o sistema do Ministério da Saúde | Certificado de vacinação fora do ar por quase duas semanas; suspeito preso em 2022 |
CAUSA RAIZ
O que falhou em cada caso
Nenhum precisou quebrar criptografia: a falha quase sempre foi simples
| Caso | Causa | Em uma frase | O controle que ataca isso |
|---|---|---|---|
| C&M Software | Credencial | Um funcionário vendeu o próprio login | MFA e alerta de uso fora do padrão |
| Sinqia / HSBC | Credencial de fornecedor | Login legítimo de terceiro nas mãos erradas | Gestão de terceiros e acesso mínimo |
| iFood | Privilégio demais | Uma conta terceirizada editava milhares de restaurantes | Menor privilégio e revisão de acessos |
| ConecteSUS | Acesso indevido | Invadiram, apagaram dados e o sistema ficou quase duas semanas fora | MFA e backup testado |
| BTG Pactual | Em apuração | Causa ainda não confirmada oficialmente | Não dá para afirmar |
| Megavazamento | Origem desconhecida | Ninguém provou de onde os dados saíram | Inventário e classificação de dados |
Credencial, privilégio e terceiros: três palavras explicam a maioria dos casos.
🐻❄️ RISCO É DECISÃO
Como se fala de risco
Segurança não elimina risco: administra risco com orçamento finito
Risco = probabilidade × impacto
Uma falha que derruba o sistema de RH por uma hora e um vazamento da base de clientes não merecem o mesmo investimento. Priorizar é o trabalho.
Quatro respostas possíveis
Mitigar (aplicar controle) • Transferir (seguro, contrato) • Evitar (não fazer aquilo) • Aceitar (formalmente, com dono e prazo).
Defesa em profundidade: se uma camada falhar, a próxima segura
Nesta aula o foco é a camada do dado, mas ela só funciona porque as outras existem.
A ÚLTIMA LINHA DE DEFESA
Backup: o controle mais subestimado
É o que decide se um ransomware é um susto de dois dias ou o fim da empresa
3
cópias dos dados
A original e mais duas. Uma só não é backup, é esperança.
2
mídias diferentes
Disco local e nuvem: se uma mídia falha, a outra sobrevive.
1
cópia fora do site
Outro local ou conta de nuvem, imutável e desconectada.
Caso real · WannaCry, 2017. Em maio, um ransomware travou 230 mil computadores em 150 países por uma falha do Windows já corrigida e cobrou resgate em bitcoin. Hospitais britânicos cancelaram consultas; no Brasil, Petrobras e tribunais desligaram máquinas. Com backup desconectado, restaura; sem ele, paga ou perde. G1: no Brasil ↗ BBC: hospitais ↗ Guardian: kill switch ↗
🐻❄️ E VOCÊ COM ISSO?
Proteja-se a partir de hoje
Tudo o que vimos dentro da empresa vale para o seu celular. Cinco hábitos que levam menos de uma hora
Gerenciador de senhas
Uma senha diferente por site, criada e guardada por ele (o Bitwarden é gratuito). Senha reaproveitada é a credencial vazada dos casos que vimos.
MFA em tudo que importa
E-mail, banco, WhatsApp (verificação em duas etapas) e redes sociais. Com MFA, a senha vazada sozinha não abre a conta.
Desconfie da urgência
Falso parente pedindo Pix, falsa central do banco, link de "entrega retida". É engenharia social: o banco nunca pede senha nem código por telefone.
Atualize celular e apps
A correção do WannaCry saiu dois meses antes do ataque. Atualização automática ligada é o patch que você aplica sem pensar.
Veja o que existe no seu nome
Registrato, do Banco Central: contas, chaves Pix e empréstimos no seu CPF. haveibeenpwned.com: se o seu e-mail apareceu em vazamento.
Segurança de dados não é só profissão: é o que impede alguém de abrir uma conta no seu nome amanhã.
BLOCO 3
Como funciona no mercado
LGPD na prática, nuvem, as siglas das ferramentas que aparecem nas vagas e o que muda com a IA.
🐻❄️ A LEI NO DIA A DIA
LGPD na prática
O que muda no dia a dia de quem escreve código e opera sistemas
Base legal antes de coletar
Todo tratamento precisa de uma das dez hipóteses do art. 7º. Consentimento é só uma delas, e a mais frágil, porque pode ser revogado a qualquer momento.
Direitos do titular viram funcionalidade
Acessar, corrigir, portar, eliminar e saber com quem seus dados foram compartilhados. Isso precisa existir no produto, não num e-mail manual.
Incidente tem prazo e tem forma
Incidente relevante deve ser comunicado à ANPD e aos titulares em prazo definido pela regulamentação. Quem descobre tarde já começa em desvantagem.
Fontes: Lei 13.709/2018; Lei 15.352/2026; Mapa de Temas Prioritários da ANPD 2026-2027
QUEM CUIDA DE QUÊ
Nuvem: responsabilidade compartilhada
O erro mais caro do mercado é achar que o provedor cuida de tudo
O provedor cuida da segurança DA nuvem
Datacenter físico, hardware, hipervisor, rede de base, disponibilidade da região, patch da infraestrutura gerenciada.
Isso vem pronto e costuma ser melhor do que qualquer empresa faria sozinha.
Você cuida da segurança NA nuvem
Quem tem acesso, o que está público, se o bucket tem criptografia, se a chave é rotacionada, se o log está ligado, se o dado certo está na região certa.
É aqui que nascem praticamente todos os vazamentos em nuvem noticiados.
Em 2026, cerca de 30% das violações ainda envolveram dados guardados no ambiente da própria empresa. Nuvem não é o único lugar onde o dado vive, e ambientes híbridos multiplicam as pontas soltas.
🐻❄️ SOPA DE LETRINHAS
As siglas que você vai ver em toda vaga
Nenhuma delas é mágica: cada uma automatiza um conceito dos fundamentos
IAM / PAM
Gestão de identidade e de acesso privilegiado. Quem é quem, quem pode o quê, cofre de credenciais.
DLP
Data Loss Prevention: impede que dado classificado saia por e-mail, upload ou cópia indevida.
DSPM
Data Security Posture Management: descobre onde há dado sensível espalhado e o quanto está exposto.
CSPM
Cloud Security Posture Management: varre a configuração da nuvem procurando desvio de padrão seguro.
SIEM / SOC
Centraliza logs, correlaciona eventos e gera alerta. É o radar operado pelo time de monitoramento.
KMS / HSM
Guarda e gerencia chaves criptográficas com hardware dedicado e registro de cada uso.
A regra para não se perder: pergunte sempre qual princípio dos fundamentos aquela ferramenta automatiza.
🐻❄️ O ALVO MAIS NOVO
A fronteira atual: IA e dados
O tema que está redefinindo a área, e onde há mais vaga do que gente
Shadow AI
Uso de ferramenta de IA não aprovada com dado da empresa. Apareceu em 43% dos incidentes ligados a IA em 2026, contra 20% no ano anterior.
Falta de controle de acesso
Entre as organizações que relataram incidente com IA, 92% não tinham controle de acesso adequado para esses sistemas.
Prompt injection
Instrução maliciosa escondida em conteúdo que o modelo lê, levando-o a vazar dado ou executar ação indevida.
Model inversion
Extrair do modelo informação sobre os dados com que ele foi treinado. Um dos incidentes de IA mais caros medidos.
A boa notícia: quase tudo aqui se resolve com fundamentos velhos: classificar, restringir acesso e registrar uso.
BLOCO 4
Carreira
Onde as pessoas de segurança trabalham, como começar ainda na faculdade e as portas de entrada no Inter.
AS TRILHAS DA ÁREA
Onde essas pessoas trabalham
Trilhas reais dentro de uma área de segurança
SOC / Blue team
Monitora, investiga alerta e responde a incidente. Porta de entrada mais comum.
AppSec
Segurança dentro do desenvolvimento: revisão de código, pipeline, correção de vulnerabilidade.
Cloud Security
Configuração, identidade e guardrails em AWS, Azure e GCP. Alta demanda.
Data & AI Security
Onde está o dado sensível, quem acessa, como protegê-lo em pipelines e modelos.
GRC e Privacidade
Risco, política, adequação à LGPD, auditoria. Ótimo para quem gosta de escrever e negociar.
Segurança ofensiva
Pentest, red team e bug bounty. Mais glamourizada, com menos vagas do que se imagina.
95% dos profissionais relatam alguma lacuna de competência no próprio time, então a barreira de entrada é menor do que você imagina. (ISC2 Workforce Study 2025)
PRIMEIROS PASSOS
Como começar ainda na faculdade
Nada aqui exige dinheiro.
Base sólida
Redes (TCP/IP, DNS, HTTP), sistemas operacionais e linha de comando Linux. Sem isso, segurança vira decoreba.
Um pouco de código
Python resolve 90% do que se automatiza na área. Aprenda também a ler código. Use IA para entender o código
Nuvem
Conta gratuita em qualquer provedor, suba algo, quebre, conserte. Estude IAM antes de qualquer outro serviço.
Prática guiada
TryHackMe, Hack The Box, PortSwigger Web Security Academy (gratuito e excelente).
Certificação, depois
Comece pelas de fundamentos: AWS Cloud Practitioner ou Azure Fundamentals. A especialização em segurança vem depois da prática.
ESTUDO
USE IA!
ChatGPT, Claude, Gemini, Grok, DeepSeek: o professor particular que responde a qualquer hora, de graça
SUGESTÕES DE CARREIRA
Quatro apostas para a sua carreira
Valem para segurança e para qualquer outra trilha em tecnologia
A língua da área
Documentação, cursos, certificações e vagas globais saem em inglês primeiro. Aprenda com Música, Jogos, Livros, Filme
Gente abre portas
LinkedIn ativo, meetups, comunidades como OWASP, BSides e grupos de usuários AWS, CTF em equipe. Muita vaga passa por indicação.
A base de tudo em tecnologia
SQL, a linguagem dos bancos de dados, e redes: como o dado sai do celular e chega ao servidor. Todo sistema guarda dado e conversa pela rede; quem entende os dois sabe onde está o risco.
Ferramenta e alvo
Use IA todo dia para estudar e programar, e aprenda os riscos: vazamento por prompt, prompt injection, dado sensível em treino.
PORTAS DE ENTRADA NO INTER
Go Tech e vagas no Inter
O programa de estágio em tecnologia do Inter e o site onde ficam todas as vagas abertas
Estágio em tecnologia
Estágio com possibilidade de efetivação. Áreas: Tecnologia da Informação, UX/UI, Growth, Dados, Segurança da Informação, Finance e People Analytics.
Quem pode participar
Graduação em andamento com matrícula ativa, inglês intermediário e estágio presencial em Belo Horizonte e região.
Não precisa vir de TI: no time há nutricionistas e psicólogos que migraram para Tecnologia, Dados e Cyber.
carreiras.inter.co
Todas as vagas do Inter, com filtro por cidade: Belo Horizonte, São Paulo, Curitiba, Recife e Miami.
Cada edição do Go Tech tem a sua data: confira o período de inscrição no site antes de se candidatar.
COMO O MERCADO MUDA
Dez anos de tecnologia em salário
Salário mensal com carteira assinada, em R$ mil, da menor à maior faixa publicada pela Robert Half
Fontes: Robert Half via Exame (2015) ↗, Senac (2020) ↗ e Guia Salarial 2026, dados de 2025 ↗
Cloud e IA nem estavam nos destaques de 2015. A próxima área nova surge enquanto vocês estudam.
🐻❄️ CONTADOR DE URSOS
Quantos ursos vocês contaram?
Lembram do combinado do começo? Cada tema com cara de assustador ganhou um urso no topo do slide.
RESULTADO
ursos, um em cada tema importante da aula
Nenhum deles mordeu: da próxima vez que aparecerem, vocês já sabem o nome.
CONTATO
Ficou alguma dúvida? Fala comigo
Caso queiram tirar dúvidas sobre a aula, segurança ou carreira, entrem em contato pelo LinkedIn
CyberSecurity Specialist no Inter
Cloud, Data e AI Security. Pode mandar mensagem: dúvida da aula, de estudo ou de carreira.
Obrigado pela atenção!