Jornadas em cibersegurança, parte 3: o trabalho por trás do trabalho na AWS

A terceira parte da série da AWS com 11 profissionais de segurança troca a imagem de filme de hacker pelo trabalho de bastidor. Brandon Caldwell, gerente de Security Engineering, atua em application security: revisa software durante o desenvolvimento para que as falhas não cheguem à produção. Na prática, isso é conversa. Ele pede que quem construiu o produto explique como funciona e pergunta até entender onde pode quebrar. Segundo ele, o emprego é pelo menos 50% lidar com pessoas, e a parte mais difícil é dar más notícias a quem criou o sistema sem desmotivar o time.

Brandon também defende que escrever bem é diferencial: findings, advisories e políticas precisam ser claros e utilizáveis. Ele começou quebrando coisas (editava o Doom em hexadecimal para ter munição infinita), aprendeu reverse engineering sozinho e passou por TI e resposta a incidentes na Microsoft. Ao ver SQL injection e cross-site scripting se repetirem, decidiu ajudar os times a evitar a invasão em vez de executá-la. Ao contratar, olha certificações por último e prefere resultados em capture-the-flag e projetos públicos no GitHub.

Para quem opera AppSec ou lidera times de segurança, o relato lembra que o gargalo de muitas correções não é técnico. É a forma como o achado chega ao desenvolvedor. Um finding bem escrito e entregue com empatia tende a ser corrigido mais rápido, e isso vale tanto para contratar quanto para treinar o time.