Sobre mim
Baixar currículo (PDF)
Nasci em Araraquara e moro em São Paulo há 14 anos. Vim aos 18 anos para cursar Ciência da Computação na PUC-SP, com bolsa integral pelo ProUni. Foi aqui que construí minha trajetória profissional em segurança da informação, passando das avaliações de segurança à liderança de equipes e à organização do trabalho.
No trabalho, gosto de compreender o contexto de um problema, organizar ideias e transformá-las em ações. Procuro fundamentar minhas decisões em fatos e evidências, reunindo os elementos necessários para avaliar alternativas e agir com segurança. Essa postura acompanha meu trabalho ao orientar pessoas, avaliar riscos e comunicar melhorias, aproximando a tecnologia das necessidades do negócio e das responsabilidades de cada decisão.
Sobre o BMTV:
Criei o BMTV para aproximar minha experiência profissional da exploração prática da inteligência artificial, em um projeto próprio com problemas concretos. Para dar a essa ideia um ponto de partida, escolhi o negócio da minha família. Meus pais são costureiros, e passei parte da infância ajudando na loja e acompanhando seu cotidiano e seus processos informais.
Essa familiaridade com o pequeno varejo tornou a loja um contexto próximo para experimentar soluções a partir de necessidades reais. O projeto reúne esse vínculo pessoal e meu interesse profissional em explorar como a tecnologia e a inteligência artificial podem apoiar o trabalho, com orientação, critérios e decisões humanas.
Minhas competências
A minha trajetória viabilizou o desenvolvimento de competências voltadas à compreensão do contexto de segurança da informação na avaliação de aplicações, para conectar os achados técnicos às necessidades das equipes. Mais recentemente, meu foco se voltou à compreensão das necessidades organizacionais da consultoria para propor mudanças estruturais.
Minha trajetória profissional
- abr. de 2016 — set. de 2016
Estágio em segurança da informação
LSI-TEC - LABORATÓRIO DE SISTEMAS INTEGRÁVEIS TECNOLÓGICO
A oportunidade do estágio surgiu quando eu tinha 22 anos e uma amiga da minha turma na PUC-SP, que trabalhava em outra equipe do LSI-TEC, me indicou. No dia a dia, eu atendia demandas pontuais de diferentes frentes e aprendia com os profissionais generosos que dividiam o escritório comigo, especialmente ao discutir abordagens e resultados dos testes. Meu primeiro projeto como estagiário foi ajudar a identificar processos em nível macro e transcrevê-los em documentação destinada aos processos de homologação dos clientes. Eu usava o Bizagi para desenhar os fluxos. Esse trabalho antecedeu minha atuação mais concentrada nos testes de aplicações. Meu trabalho se concentrava em aplicações web, sobretudo sites e hotsites de grandes bancos de varejo ligados a operações de internet banking, seguros, financiamentos e cadastros. O Burp Suite foi minha primeira e principal ferramenta de análise, e eu recorria com frequência ao OWASP Top 10 para orientar a investigação. Entre as vulnerabilidades que eu mais identificava e relatava estavam XSS, SQL injection e problemas de autenticação. Também participei de testes pontuais de infraestrutura com o Cain & Abel e Wireshark em redes internas e de projetos de mapeamento de domínios e outros ativos. Eu registrava os achados em relatórios e, depois, explicava por telefone a profissionais do cliente e a equipes da LSI-TEC alocadas nos clientes como reproduzir os problemas e quais medidas recomendava para corrigi-los. Hoje, o compartilhamento de tela facilita muito esse tipo de explicação no trabalho remoto, mas naquela época as conversas por telefone me ensinaram a organizar o raciocínio técnico com clareza para quem daria continuidade ao trabalho.
- set. de 2016 — jun. de 2019
Analista de segurança da informação
Berghem - Smart Information Security
Fui contratado pela Berghem, spin-off da LSI-TEC, para atuar em uma instituição financeira que exigia vínculo formal de empregado com a consultoria. Ao longo desse período, passei por dois projetos que ampliaram minha atuação em segurança da informação, com avaliação de processos e segurança no desenvolvimento de software.
Projetos
- Avaliação de maturidade com o OWASP SAMM6 meses
O primeiro projeto foi contratado pela área de inspetoria de uma das maiores instituições financeiras do Brasil. O modelo adotado era o OWASP SAMM, ou OpenSAMM, como era conhecido na época. Participei da avaliação da maturidade dos processos de segurança de software, conversando com profissionais de diferentes áreas para compreender como políticas e processos eram aplicados na prática. A avaliação também se estendeu para fora da sede, com visitas a fornecedores, como call centers terceirizados, e a unidades da operação. Esse trabalho me apresentou às boas práticas de governança, enquanto as reuniões com gestores e responsáveis pela contratação me ajudaram a entender a dinâmica e a formalidade de uma grande organização.
- AppSec no desenvolvimento ágil28 meses
Depois, passei a integrar a equipe principal da Berghem em outra instituição financeira, atuando com os times de desenvolvimento da área de tecnologia. Nosso time se dividia em frentes e eu me concentrava nos testes de aplicações, embora também realizasse análises pontuais de código. Acompanhei diferentes squads, chegando a ser responsável por oito delas; a participação nas dailies e plannings me aproximou das equipes e ajudou a construir relações de trabalho que evoluíram ao longo dos projetos. As abordagens de segurança variavam entre as squads conforme a criticidade de cada produto. Em alguns casos, eu acompanhava a solução desde a concepção e apresentava aos times recomendações a partir da modelagem de ameaças, com atuação mais intensa na verificação de segurança antes da disponibilização. Trabalhei em sistemas internos e, sobretudo, em soluções de atendimento a pessoas físicas, além de projetos voltados a pessoas jurídicas. Cada contexto trazia regras de negócio, perfis de usuário e autorizações de acesso próprios. As iniciativas incluíam mensageria, seguros, financiamentos, internet banking e sistemas de back office.
Os testes eram principalmente manuais e aconteciam em ambiente de homologação, com avaliações controladas também em produção. Entre as aplicações avaliadas estavam as versões móveis para Android, iOS e Windows Phone. Eu usava Burp Suite nos testes, Jadx para analisar pacotes APK e VS Code como apoio nas análises de código. Também recorria ao Splunk como SIEM para observar parte das reações do ambiente aos testes. Essa experiência me ajudou a compreender melhor as atividades de segurança ao longo do desenvolvimento, do desenho e da codificação à verificação das aplicações.
- jul. de 2019 — dez. de 2022
Consultor de segurança da informação
Berghem - Smart Information Security
Como consultor, passei por projetos de auditoria, avaliação de maturidade e segurança de aplicações em contextos distintos. Acompanhei processos e evidências, participei de conversas com as equipes envolvidas e, mais tarde, liderei tecnicamente as primeiras frentes de testes de uma adquirente em integração a um hub global de pagamentos.
Projetos
- Apoio à auditoria interna5 meses
Eu era o único profissional da Berghem alocado nesse projeto, em uma instituição financeira voltada ao financiamento de imóveis e veículos. Trabalhei diretamente com a equipe de auditoria interna que contratou a consultoria, acompanhando pendências, analisando evidências e conversando com as áreas auditadas por meio dos "follow-ups". O ambiente era colaborativo, mas algumas reuniões exigiam cuidado especial para determinar o que constituía uma evidência de qualidade e quais ajustes eram necessários a serem realizados pelas áreas auditadas. Para avaliar esses pontos e comunicá-los com clareza, precisei compreender os processos e atividades da organização e das áreas auditadas, além das políticas, normas e requisitos aplicáveis. A equipe contratante me apoiou nesse entendimento e ajudou a calibrar a análise das evidências. A proximidade com a auditoria ampliou minha compreensão sobre sua função na organização e refinou minha comunicação em situações que demandavam maior adaptabilidade aos processos auditados.
- Avaliação de maturidade em plataforma de RH2 meses
Também participei de uma avaliação da maturidade das práticas de segurança no desenvolvimento de uma plataforma de recursos humanos sediada no Centro-Oeste. O trabalho se apoiou principalmente em entrevistas com as áreas selecionadas para compreender como as práticas eram aplicadas. O projeto utilizou o OWASP SAMM como referência e ampliou minha experiência com a análise de processos de desenvolvimento em um setor diferente daquele dos projetos financeiros.
- Avaliação de maturidade em adquirência1 mês
Viajei a Porto Alegre para apoiar a etapa final de um projeto que avaliava a maturidade da esteira de desenvolvimento de uma adquirente ligada à operação brasileira de um grande banco europeu. Participei da consolidação dos resultados e da aferição de maturidade com base no OWASP SAMM. Também comparei qualitativamente as práticas avaliadas com abordagens observadas em outros projetos da consultoria para concluir esse projeto.
- Segurança na integração da adquirente a um hub global34 meses
Paralelamente, na mesma adquirente, participei desde o início de uma nova frente ligada à reestruturação que integraria a operação brasileira a um hub de soluções tecnológicas para meios de pagamento do banco, concebido para atuar em diferentes países. Quando o trabalho começou, o hub ainda era identificado apenas por um codinome. A consultoria alocou seus primeiros profissionais sob minha liderança técnica, e dividimos as atividades entre testes de aplicações e avaliações físicas de terminais POS.
Os projetos abrangiam frentes internas da operação, como iniciativas de migração de dados, e soluções voltadas aos lojistas, entre elas merchant portal, aplicações de pagamento, portais de back office e dispositivos de diferentes tecnologias, incluindo terminais POS convencionais com sistemas embarcados e smartPOS baseados em Android. Os testes físicos eram executados por especialistas, enquanto eu revisava os trabalhos e precisava compreender a arquitetura dos dispositivos e os limites das avaliações para reportar os resultados à área de Cibersegurança contratante no Brasil. Também mantinha atuação direta nos testes de aplicações, incluindo as disponibilizadas no marketplace próprio da adquirente.
O trabalho acompanhava a esteira ágil das equipes de desenvolvimento, com dailies e plannings, além das formalizações destinadas à área de Cibersegurança. Adaptávamos nossa atuação às dinâmicas de cada time. Para compreender cada solução, consultávamos especificações técnicas e das jornadas, diagramas, arquitetura e informações sobre infraestrutura em nuvem. Usávamos o Figma para examinar os desenhos, o Azure DevOps Wiki para consultar a documentação e o Azure Boards para acompanhar as atividades em Kanban, conforme os materiais e rotinas disponíveis. Nos testes de aplicações, também utilizei o Frida para observar comportamentos e realizar hooking em tempo de execução, com scripts adaptados às tecnologias avaliadas.
As exigências de conformidade influenciavam a seleção periódica dos escopos, que podiam incluir infraestrutura, áreas internas seguras, pagamentos por aproximação e outras tecnologias relacionadas ao processamento de pagamentos. O PCI DSS era uma das referências dessas validações. A decisão sobre os requisitos de cada escopo cabia ao contratante, mas nossa equipe frequentemente apoiava a seleção, interpretando os requisitos à luz do contexto e dos testes anteriores. Parte dessas avaliações apoiava auditorias; outras surgiam de iniciativas de melhoria contínua do próprio time.
Com o crescimento da equipe, o projeto passou a atender operações de países como México e Argentina. Também participamos de testes emergenciais de segurança durante o período de aquisição de uma adquirente uruguaia, o que exigiu compreender as particularidades e regras de negócio de cada operação.
- jan. de 2023 — set. de 2023
Líder
Berghem - Smart Information Security
A mudança para o cargo de líder formalizou uma responsabilidade que eu já exercia como consultor no projeto do hub global de meios de pagamento. Continuei orientando e revisando os testes da equipe, acompanhando as entregas e participando das análises técnicas. Minha atuação passou a se concentrar cada vez mais na liderança e na revisão dos trabalhos, mantendo participação direta em testes e investigações que exigiam aprofundamento. Nessas frentes, continuei utilizando ferramentas como Burp Suite, Jadx, VS Code e Splunk, conforme o contexto das avaliações. O Frida ganhou espaço nas investigações que exigiam compreender o comportamento das aplicações durante a execução e desenvolver scripts específicos para as tecnologias encontradas.
Projetos
- Continuidade no hub global de meios de pagamento9 meses
Mantive a atuação nas frentes de segurança apresentadas no período como consultor, combinando a liderança técnica com testes de aplicações e revisão das avaliações físicas realizadas pelos especialistas. O acompanhamento das atividades e a comunicação dos resultados continuavam relacionados às necessidades das operações atendidas pelo hub e às formalizações destinadas à área de Cibersegurança contratante. Os projetos envolviam contextos internos, como migração de dados, e soluções voltadas aos lojistas, incluindo merchant portal, terminais POS e portais de back office; os testes variavam conforme o escopo de cada frente.
- Segurança de aplicações em banco de varejoEm paralelo
Em paralelo ao trabalho no hub, passei a atuar em projetos de outro grande banco privado brasileiro. As aplicações usavam criptografia local intensa e protegiam a comunicação com os servidores, o que exigia compreender seu comportamento durante a execução para conduzir os testes. Trabalhei em avaliações gray-box com o Frida e scripts específicos para interceptar funções e examinar o tratamento dos dados. A investigação e a preparação desses scripts exigiam bastante trabalho manual, em um período anterior à disponibilidade dos agentes de IA que hoje podem auxiliar nesse tipo de análise.
Considerando esse projeto e os anteriores, minha experiência passou a abranger os três maiores bancos privados com atuação no Brasil.
- Segurança de aplicações em corretora de investimentosEm paralelo
Também participei de projetos de uma grande corretora de investimentos, com testes gray-box e abordagem semelhante à utilizada nos projetos bancários. A análise do comportamento das aplicações e as técnicas de runtime instrumentation eram adaptadas às tecnologias e às proteções encontradas, ampliando minha experiência com essas abordagens em diferentes contextos do setor financeiro.
- Segurança de aplicações em banco de rede de supermercadosEm paralelo
Em outra frente paralela, participei de testes para um banco ligado a uma rede europeia de supermercados. As avaliações de aplicações ocorreram em diferentes fases e acompanharam a jornada do cliente, desde o onboarding até o encerramento da relação com a instituição. A frente também incluiu avaliações pontuais de redes Wi-Fi em lojas específicas, com tentativas de acesso a áreas não autorizadas e de quebra de senhas de redes privadas, além da interação com totens de autoatendimento usados na gestão da conta de crédito do cartão. Aplicamos os conhecimentos de segurança de aplicações dessas outras frentes e refinamos a apresentação dos resultados para relacionar os achados em uma narrativa técnica coerente, conectando as vulnerabilidades às etapas da jornada e explicando como se relacionavam. Essa experiência ampliou meu cuidado com a organização dos relatórios e com a clareza da comunicação dos resultados.
- out. de 2023 — nov. de 2024
Coordenador de segurança da informação
Berghem - Smart Information Security
A coordenação ampliou minha responsabilidade pelo acompanhamento simultâneo de projetos de testes de segurança, pelo alinhamento das abordagens técnicas com os clientes e pela apresentação dos resultados a diferentes públicos. Também participei da evolução dos métodos de trabalho da equipe e ministrei treinamentos para clientes, incluindo profissionais de desenvolvimento e DevSecOps. Nesse período, comecei a elaborar propostas para um projeto interno orientado pela ISO/IEC 27001, a partir do estudo da norma e do mapeamento dos processos da equipe do diretor. O trabalho envolveu compreender as rotinas existentes e propor formas de organizar responsabilidades, informações e comunicação. Também propus a adoção do Power Automate e do Power Apps, com integrações ao Microsoft Teams, plataforma de comunicação interna, e desenvolvi fluxos de trabalho para explorar essas possibilidades. A elaboração dessas propostas me ajudou a relacionar os conceitos de gestão às necessidades concretas da organização.
- dez. de 2024 — out. de 2025
Gerente de segurança da informação
Berghem - Smart Information Security
Dei continuidade à elaboração de propostas para um projeto interno de gestão da segurança da informação orientado pela ISO/IEC 27001. A partir do trabalho iniciado na coordenação, busquei relacionar o mapeamento dos processos da equipe do diretor às propostas de comunicação, automação de tarefas e organização de responsabilidades. Essa etapa ampliou minha atuação na formulação de diretrizes e na preparação de subsídios para decisões sobre o trabalho e os riscos de segurança da informação. A elaboração dessas propostas aprofundou meu entendimento sobre os desafios de traduzir referências de gestão para o contexto da organização. Na consultoria, também elaborei propostas de diretrizes operacionais para os projetos, com atenção aos processos, às responsabilidades, à colaboração entre equipes técnicas e à interlocução com clientes.
- out. de 2025 — atual
Projeto BMTV
Projeto próprio
Iniciei o Projeto BMTV imediatamente após minha saída da Berghem para materializar meu aprendizado recente em segurança da informação e gestão em um contexto diferente daquele ao qual estava habituado. Investi tempo e recursos próprios no desenvolvimento de um PDV a partir das necessidades da loja de decoração do meu pai, aplicando desde o início práticas próprias de governança para orientar o trabalho com agentes de IA. A experiência evoluiu para uma estrutura de governança mais abrangente e seu portal, reunindo práticas de segurança, gestão de riscos e qualidade para experimentar, registrar decisões e avaliar resultados.
Formação acadêmica
Fundação Getulio Vargas
Processos Gerenciais
mar. de 2026 – nov. de 2027
Em andamento. Conclusão prevista para novembro de 2027.
Pontifícia Universidade Católica de São Paulo
Computer Science
Formação complementar
Estrutura e Processos Organizacionais
Fundação Getulio Vargas · Concluído em novembro de 2025
Ver certificado e badge (abre em nova aba)