Modelo de Descrição de Cargo para Security Analyst - Guia 2026

Por Kevin Kim · Atualizado em 6 de setembro de 2026

Publique uma vaga de "Security Analyst" e você receberá três tipos diferentes de candidatos: alguém que passou dois anos fazendo a triagem de alertas em turnos rotativos, alguém que passou dois anos atrás de evidências para o SOC 2 e de questionários de segurança de fornecedores, e alguém que escreve regras de detecção e quase não se considera um "analista". Os três têm razão em usar o título. A maioria das vagas não descreve nenhum deles com clareza suficiente para que o candidato saiba a qual emprego está se candidatando.

Essa desconexão custa caro para os dois lados. Um gestor de contratação entrevista um bom candidato de compliance com um critério pensado para SOC e dispensa a pessoa certa para GRC, ou contrata um T1 afiado para o que na verdade era um cargo de detection engineering e diz que o grupo de candidatos é fraco, quando o problema era a descrição de cargo. Este guia traça as três linhas com clareza e depois trata do que torna o cargo difícil de preencher e de manter: a fadiga de alertas e o trabalho em turnos que um SOC de verdade exige.

Principais Destaques

• Um título, três empregos: "Security Analyst" abrange o analista de SOC, o analista voltado a GRC e o detection engineer, e cada um precisa de uma descrição de cargo diferente
• O SOC funciona em camadas, e não como um cargo único e plano: a triagem em T1, a investigação em T2 e a caça a ameaças em T3 são empregos distintos, em faixas salariais diferentes, e não três nomes para a mesma cadeira
• A fadiga de alertas é um problema de dimensionamento de equipe, e não só de ferramentas: uma fila cheia de alertas de baixo valor esgota os analistas antes de qualquer incidente isolado, e isso aparece na retenção
• O trabalho em turnos é a contrapartida que a maioria das vagas esconde: um SOC 24/7 exige cobertura em tempo integral, e isso pertence à vaga, e não a algo descoberto na segunda semana
• As certificações filtram a contratação de forma desigual: a Security+ funciona como filtro de entrada, a CISSP sinaliza senioridade mas é exigida em excesso para cargos juniores, e as certificações GIAC têm peso real para o trabalho prático
• Nem toda empresa deve contratar o seu primeiro analista: abaixo de certo porte, um provedor de MDR ou MSSP cobre a detecção de forma mais confiável do que uma contratação interna jamais cobrirá

Por Que Esse Cargo É Importante

Toda empresa conectada é um alvo, e a distância entre os ataques que chegam e as pessoas preparadas para detectá-los aparece nos dados. O 2025 Cybersecurity Workforce Study da ISC2 (publicado em dezembro de 2025) constatou que 95% dos respondentes relataram pelo menos uma necessidade de habilidades, e que 88% sofreram uma consequência significativa de cibersegurança ligada a uma deficiência de habilidades nos últimos 12 meses. Isso não é uma escassez abstrata. São equipes específicas deixando passar detecções específicas porque a cadeira que deveria pegá-las estava vazia ou ocupada por alguém que fazia um trabalho diferente do que o título sugeria.

O custo de errar não para de subir. O IBM 2026 Cost of a Data Breach Report (publicado em 29 de julho de 2026) apontou um custo médio global de US$ 4,99 milhões por violação, e as violações habilitadas por IA tiveram média de US$ 6 milhões. A detecção, o escalonamento e a interrupção que se segue respondem pela maior parte desse total, exatamente o terreno que um security analyst é contratado para cobrir.

A porta de entrada também está mudando. O 2026 Data Breach Investigations Report da Verizon constatou que a exploração de vulnerabilidades superou as credenciais roubadas como principal vetor de acesso inicial, presente em 31% das violações estudadas (de novembro de 2024 a outubro de 2025). Os ataques com credenciais não desapareceram; os atacantes agora combinam os dois em uma só cadeia, então o analista de SOC de hoje observa um conjunto de pontos de entrada mais amplo e de movimento mais rápido do que o cargo cobria dois anos atrás.

Security Analyst: Três Empregos, Um Só Título

Essa divisão não é uma conveniência de contratação. O NICE Workforce Framework for Cybersecurity, mantido pela CISA, separa o trabalho em categorias que incluem Protect and Defend (SOC e detecção) e Oversee and Govern (compliance e risco) porque os conjuntos de habilidades não se transferem com facilidade. Este modelo se concentra na versão de SOC/detecção, o caminho de entrada mais comum; ajuste os Requisitos para habilidades de auditoria no caso de GRC, ou para scripting e automação no caso de detection engineering.

O Modelo de Camadas do SOC: Como os Analistas Realmente São Alocados

Uma vaga de analista de SOC sem a camada indicada está incompleta: a camada define o trabalho do dia a dia, a faixa salarial e a autonomia.

A maioria das vagas que dizem "Security Analyst" sem indicar a camada está, na prática, descrevendo T1 ou uma mistura de T1 e T2. Indicar a camada poupa tempo dos dois lados: os candidatos se autosselecionam com precisão e a entrevista testa a profundidade certa em vez de adivinhar.

Modelo Principal de Descrição de Cargo

Vale uma leitura rápida antes: nosso guia de boas práticas de descrição de cargo. O modelo abaixo adota por padrão um analista de SOC T1/T2, a versão que a maioria das empresas contrata primeiro; ajuste os Requisitos para experiência em auditoria no caso de GRC, ou para scripting e engenharia de SIEM no caso de detection engineering.

Sobre o Cargo

Estamos procurando um Security Analyst para integrar o nosso Security Operations Center e detectar ameaças antes que se tornem incidentes. Você vai monitorar a fila de alertas em nossas ferramentas de SIEM e de endpoint, fazer a triagem e investigar tudo o que for real e escalar os incidentes confirmados com uma linha do tempo clara. É um trabalho prático, e não de redação de políticas: espere decisões de julgamento sob pressão sobre o que é ruído e o que é genuíno.

Você vai cumprir um turno definido em nossa escala de cobertura e atuar com o detection engineering nas regras que usa todos os dias. Quando uma investigação revelar uma lacuna real de cobertura, devolva essa informação em vez de simplesmente encerrar o ticket.

O candidato ideal já passou tempo em uma fila de alertas e sabe a diferença entre um alerta que merece cinco minutos e um que merece cinquenta. Você documenta o seu raciocínio para que o próximo turno possa continuar de onde você parou, e a fadiga de falsos positivos não o desgasta. Você se reportará ao nosso SOC Manager e trabalhará diariamente ao lado de detection engineers e de incident responders.

Principais Responsabilidades

• Triagem e Investigação de Alertas: Monitorar alertas de SIEM, EDR e rede, classificar a gravidade e investigar tudo o que vá além de um falso positivo óbvio
• Escalonamento de Incidentes: Documentar e escalar incidentes confirmados com uma linha do tempo clara e uma recomendação de contenção
• Correlação de Logs e Sinais: Puxar os fios da telemetria de autenticação, rede e endpoint, o mesmo instinto de identificar padrões que um analista de dados aplica a dados mais bagunçados, para confirmar se alertas isolados são um único evento conectado
• Ciclo de Feedback de Detecção: Devolver ao detection engineering as regras ruidosas e as lacunas de cobertura que uma regra existente deixou passar
• Documentação de Passagem de Turno: Deixar uma passagem específica, com as investigações em aberto e tudo o que valha acompanhar
• Uso de Ferramentas e Playbooks: Executar playbooks de SOAR para os tipos comuns de incidente e sinalizar as lacunas para os novos
• Atenção a Vulnerabilidades: Coordenar a prioridade de correção quando um alerta remete a uma vulnerabilidade conhecida e explorada
• Apoio a Compliance: Contribuir com evidências de logs para solicitações de auditoria, em parceria com quem for dono dos relatórios de compliance

Requisitos

Qualificações Obrigatórias:

• Tecnólogo ou graduação em cibersegurança, TI ou área afim, ou experiência equivalente
• 1-3 anos em um SOC, em um help desk focado em segurança ou em experiência prática equivalente
• CompTIA Security+ ou certificação fundamental equivalente
• Conhecimento prático de pelo menos uma plataforma de SIEM (Splunk, Microsoft Sentinel ou similar)
• Facilidade para ler logs de Windows, Linux e dispositivos de rede comuns
• Compreensão do ciclo de vida da resposta a incidentes: identificação, contenção, erradicação, recuperação
• Hábitos claros de documentação escrita, já que a sua passagem de turno é o ponto de partida do turno seguinte
• Capacidade de cumprir a escala de turnos que o cargo exige, incluindo cobertura rotativa ou noturna

Qualificações Desejáveis:

• Certificações GIAC relevantes para o trabalho de detecção (GCIH, GCIA) ou progresso rumo a uma delas
• Habilidade de scripting em Python ou PowerShell para tarefas repetitivas de triagem
• Experiência prévia com uma plataforma de SOAR ou com lógica de playbooks
• Contato com monitoramento de segurança em nuvem ao lado de engenheiros de nuvem
• Familiaridade com o framework MITRE ATT&CK

O Que Oferecemos

• Remuneração Competitiva: Salário-base alinhado aos dados de mercado para a sua camada, detalhado no Guia de Remuneração abaixo
• Adicional de Turno: Pagamento extra por turnos noturnos ou de fim de semana, quando a cobertura exigir
• Pacote Completo de Benefícios: Plano de saúde, odontológico e de visão, além de previdência 401(k) com contrapartida da empresa
• Plano de Carreira Claro: Uma trilha definida de T1 a T2 e a T3, ou rumo ao detection engineering
• Apoio a Certificações: Verba e tempo de estudo para Security+, GIAC ou CISSP conforme você avança

Variações de Contexto

Ambiente Corporativo

As organizações maiores costumam manter um SOC formal, com camadas definidas e escalas de turnos, não muito diferente da escala de plantão de um site reliability engineer. Espere mais processo: controle de mudanças antes de uma regra de detecção entrar em produção e coordenação com um CISO em vez de um diretor de TI generalista. A versão de GRC tem mais chance de existir como uma vaga própria aqui, já que o volume de auditorias justifica uma cadeira dedicada a partir de certo porte.

Ambiente de Startup

Em uma empresa em estágio inicial, o "Security Analyst" costuma ser a primeira contratação de segurança, reportando-se a um CTO ou a um VP de Engenharia antes de existir uma liderança de segurança dedicada. Espere uma mistura de trabalho de SOC, coleta de evidências para o SOC 2 e ajuste de detecções. Seja honesto primeiro com a conta: um único analista não consegue oferecer cobertura 24/7 sozinho.

Ambiente Remoto/Híbrido

Os analistas de SOC remotos precisam do mesmo acesso a ferramentas e da mesma autoridade de escalonamento que qualquer pessoa presencial: single sign-on, acesso zero-trust ao SIEM e um caminho testado até a camada seguinte fora do horário comercial. Um analista T1 sozinho no turno da noite, em casa, precisa de uma forma real de falar com uma pessoa quando um incidente escala além do que ele consegue tratar sozinho. A escala "follow the sun" entre regiões é melhor do que pedir a uma única região que cubra indefinidamente todos os turnos noturnos.

Considerações por Setor

As habilidades centrais de triagem se transferem entre os setores, mas qual versão do cargo é contratada primeiro, e quanto peso regulatório recai sobre ela, muda conforme o segmento.

Guia de Remuneração

Como os Dados Federais se Aplicam a Este Título

O U.S. Bureau of Labor Statistics acompanha esse trabalho em Information Security Analysts: salário anual mediano de US$ 129.180 (maio de 2025) em 192.900 empregos, com projeção de crescimento de 21% entre 2025 e 2035 e cerca de 14.100 vagas por ano, segundo o BLS Occupational Outlook Handbook, Information Security Analysts (dados salariais de maio de 2025). Esses 21% são uma das taxas de crescimento mais rápidas que o BLS publica para qualquer ocupação desta coleção.

Leia essa mediana com atenção. O BLS agrupa as três versões do cargo, e todas as camadas do SOC, em um único código ocupacional. Um analista T1 ganha bem menos, e um detection engineer sênior ou um caçador de ameaças T3 costuma ganhar mais. Trate o número como o centro de uma faixa ampla, e não como uma cotação para uma única cadeira.

As certificações filtram a contratação de forma desigual, e exigir a errada para a camada errada elimina bons candidatos sem motivo. A ISC2 exige no mínimo cinco anos de experiência cumulativa em tempo integral em dois ou mais dos oito domínios da CISSP para conceder a certificação plena, e é por isso que a CISSP pertence a uma vaga sênior, e não a uma de T1 ou T2.

Remuneração de Mercado por Nível de Experiência

As faixas abaixo são estimativas de mercado definidas pelo empregador, construídas em torno da base verificada do BLS e da progressão padrão de camadas do SOC, e não uma cotação de um banco de dados salarial específico.

Guia de Ajuste por Região Metropolitana

O que move uma oferta específica: qual é a versão do cargo, a camada do SOC, o adicional de turno e quanto do total é salário-base em comparação com adicionais de turno.

Matriz de Requisitos por Nível de Experiência

Perguntas de Entrevista

Perguntas Técnicas/Funcionais

1. Triagem de Alertas: "Faça a triagem de um alerta que sinaliza um login de um novo país para um usuário em viagem." Procure: um processo estruturado (registros de viagem, verificação do dispositivo), e não um único passo por intuição.
2. Julgamento de Falsos Positivos: "Como você decide que um alerta com aparência de rotina merece uma segunda olhada?" Procure: critérios específicos e a consciência de que a fadiga torna essa decisão mais difícil com o tempo.
3. Correlação de Logs: "Três alertas de baixa gravidade atingem sistemas diferentes em dez minutos. Estão ligados ou não?" Procure: montar uma linha do tempo em busca de um indicador em comum, e não tratar cada alerta como isolado.
4. Delimitação de Incidentes: "Como você delimita o escopo de um incidente e sabe quando terminou de delimitar?" Procure: um método real para definir limites, e não "continuar procurando até nada novo aparecer".
5. Fluência em SIEM: "Escreva uma consulta para logins com falha seguidos de um sucesso, na mesma conta, em cinco minutos." Procure: fluência real em sintaxe e lógica, e não uma descrição vaga.
6. Lacuna de Detecção: "Um incidente aconteceu e nenhum alerta o detectou. Quem você envolve?" Procure: fechar o ciclo com o detection engineering, e não apenas documentar.
7. Priorização de Vulnerabilidades: "Uma varredura revela cinquenta vulnerabilidades. O que se corrige primeiro?" Procure: ponderar a explorabilidade e a exposição, e não só a nota CVSS.
8. Aplicação de Threat Intelligence: "Como a threat intel realmente muda a sua triagem diária?" Procure: um exemplo concreto, e não uma afirmação genérica de que se mantém informado.

Perguntas Comportamentais

1. "Conte sobre uma vez em que você detectou algo que todos os outros descartaram como ruído." Procure: um raciocínio específico para olhar duas vezes, e não um palpite de sorte.
2. "Descreva um turno em que o volume de alertas foi esmagador. Como você priorizou?" Procure: um framework real de triagem sob pressão e honestidade sobre os trade-offs.
3. "Conte sobre uma vez em que você escalou algo que acabou em nada." Procure: conforto em errar de vez em quando; quem nunca escala demais costuma escalar de menos.
4. "Conduza-me pelo pior incidente em que você trabalhou, do começo ao fim." Procure: uma narrativa clara que nomeie o papel da própria pessoa, e não "a equipe" resolvendo tudo.
5. "Descreva a passagem de uma investigação em andamento no fim do turno." Procure: especificidade, já que uma passagem ruim é onde as investigações morrem em silêncio.
6. "Conte sobre uma divergência com um detection engineer a respeito de um incidente." Procure: defender a própria leitura sem simplesmente ceder nem se entrincheirar de forma irracional.

Perguntas de Aderência Cultural

1. "Como você se mantém afiado durante um turno tranquilo, sem incidentes reais?" Procure: hábitos proativos, como a caça a ameaças, e não apenas ficar olhando a fila.
2. "Como é uma relação saudável entre o SOC e o detection engineering?" Procure: um ciclo de feedback de mão dupla, e não o SOC apenas consumindo o que for entregue.
3. "Como você lida com a fadiga de alertas sem deixar a qualidade da triagem cair?" Procure: estratégias reais de enfrentamento; isso revela o risco de burnout antes que ele vire rotatividade.
4. "O que as pessoas subestimam no trabalho em turnos de um SOC antes de começar?" Procure: uma resposta honesta e específica, e não uma fala ensaiada sobre flexibilidade.

Dicas de Avaliação: Os candidatos fortes descrevem um alerta específico, e não "fortes habilidades analíticas". Desconfie de quem não consegue explicar a triagem sem citar uma ferramenta, já que as ferramentas mudam e o julgamento não. Para candidatos de GRC, troque as perguntas de SIEM por evidências de auditoria e risco de fornecedores.

Dicas de Contratação

Guia Rápido de Sourcing

• LinkedIn: Busque "SOC Analyst" ou a camada específica para filtrar candidatos generalistas de TI que nunca trabalharam em uma fila de alertas
• Comunidades GIAC e SANS: Os diretórios de certificação e as redes de ex-alunos revelam candidatos práticos de verdade
• Sinais de CTF e Home Lab: Um histórico em capture-the-flag ou um home lab documentado muitas vezes prevê a habilidade melhor do que uma linha do currículo
• Promoção Interna do Help Desk: Funcionários que sinalizaram phishing e fizeram boas perguntas sobre segurança são ótimos candidatos a T1 e já conhecem o seu ambiente
• Sourcing Específico para GRC: Para a versão de compliance, olhe para as comunidades de auditoria e de risco, e não só para currículos com títulos de segurança

Sinais de Alerta a Evitar

• Fluência só em ferramentas: Sabe navegar pela interface de um SIEM, mas não consegue explicar a lógica do que está procurando
• Sem framework de triagem: Investiga todos os alertas da mesma forma, independentemente da gravidade, sinal de inexperiência
• CISSP exigida para um cargo T1: Pede cinco anos de experiência por um salário que não os reflete, eliminando candidatos que cresceriam no cargo
• Não consegue descrever uma passagem de turno real: Não tem noção do que deve constar na documentação do turno, o que prenuncia investigações abandonadas
• Irrealista quanto ao trabalho em turnos: Afirma flexibilidade total sem hesitar, o que é desonestidade ou sinal de que não pensou direito no assunto