Fonte: https://adriano.live/adriano/sobre-mim/ # Sobre mim [Baixar currículo (PDF)](https://adriano.live/downloads/cv_gov_si_adriano_batista.pdf) ![Retrato de Adriano Batista](https://adriano.live/images/adriano-batista.png) Nasci em Araraquara e moro em São Paulo há 14 anos. Vim aos 18 anos para cursar Ciência da Computação na PUC-SP, com bolsa integral pelo ProUni. Foi aqui que construí minha trajetória profissional em segurança da informação, passando das avaliações de segurança à liderança de equipes e à organização do trabalho. No trabalho, gosto de compreender o contexto de um problema, organizar ideias e transformá-las em ações. Procuro fundamentar minhas decisões em fatos e evidências, reunindo os elementos necessários para avaliar alternativas e agir com segurança. Essa postura acompanha meu trabalho ao orientar pessoas, avaliar riscos e comunicar melhorias, aproximando a tecnologia das necessidades do negócio e das responsabilidades de cada decisão. Quero direcionar os próximos passos da minha carreira para compreender o contexto das organizações e propor controles organizacionais e tecnológicos adequados às suas necessidades de segurança da informação. Estou aberto a funções que combinem essa atuação com outras responsabilidades, desde que exista espaço para contribuir com esses temas e aprofundar minha experiência. É nessa direção que quero construir meu desenvolvimento profissional. ## Sobre o BMTV: Criei o BMTV para aproximar minha experiência profissional da exploração prática da inteligência artificial, em um projeto próprio com problemas concretos. Para dar a essa ideia um ponto de partida, escolhi o negócio da minha família. Meus pais são costureiros, e passei parte da infância ajudando na loja e acompanhando seu cotidiano e seus processos informais. Essa familiaridade com o pequeno varejo tornou a loja um contexto próximo para experimentar soluções a partir de necessidades reais. O projeto reúne esse vínculo pessoal e meu interesse profissional em explorar como a tecnologia e a inteligência artificial podem apoiar o trabalho, com orientação, critérios e decisões humanas. ## Minhas competências A minha trajetória viabilizou o desenvolvimento de competências voltadas à compreensão do contexto de segurança da informação na avaliação de aplicações, para conectar os achados técnicos às necessidades das equipes. Mais recentemente, meu foco se voltou à compreensão das necessidades organizacionais da consultoria para propor mudanças estruturais. [Conheça minhas competências](https://adriano.live/adriano/competencias/) ## Minha trajetória profissional 1. abr. de 2016 — set. de 2016 ## Estágio em segurança da informação LSI-TEC - LABORATÓRIO DE SISTEMAS INTEGRÁVEIS TECNOLÓGICO Setores, competências, ferramentas e referências deste período - Bancário Bancário: Instituições bancárias, suas aplicações e processos relacionados às operações e às jornadas dos clientes. - Testes de aplicações web Testes de aplicações web: Avaliava sites e hotsites de grandes bancos de varejo, abrangendo fluxos de internet banking, seguros, financiamentos e cadastros. Investigava XSS, SQL injection e problemas de autenticação. - Análise de vulnerabilidades Análise de vulnerabilidades: Analisava e documentava os achados, reproduzia os problemas e explicava por telefone aos clientes e às equipes alocadas as recomendações de correção. - Mapeamento de ativos externos Mapeamento de ativos externos: Participava de projetos de levantamento de domínios e outros ativos para identificar recursos relacionados aos ambientes avaliados. - Bizagi Bizagi: Usei a ferramenta para desenhar os processos macro documentados para homologação em clientes no início do estágio. - Burp Suite Burp Suite: Foi minha primeira e principal ferramenta de análise nos testes de sites e hotsites de bancos de varejo. - Cain & Abel Cain & Abel: Utilizava a ferramenta em testes de infraestrutura para obter senhas e outras informações sensíveis que trafegavam sem proteção na rede interna. - Wireshark Wireshark: Utilizava a ferramenta na observação do tráfego de rede durante testes pontuais de infraestrutura em ambientes internos. - OWASP Top 10 OWASP Top 10: Recorria a essa referência para orientar a investigação de vulnerabilidades em aplicações web. A oportunidade do estágio surgiu quando eu tinha 22 anos e uma amiga da minha turma na PUC-SP, que trabalhava em outra equipe do LSI-TEC, me indicou. No dia a dia, eu atendia demandas pontuais de diferentes frentes e aprendia com os profissionais generosos que dividiam o escritório comigo, especialmente ao discutir abordagens e resultados dos testes. Meu primeiro projeto como estagiário foi ajudar a identificar processos em nível macro e transcrevê-los em documentação destinada aos processos de homologação dos clientes. Eu usava o Bizagi para desenhar os fluxos. Esse trabalho antecedeu minha atuação mais concentrada nos testes de aplicações. Meu trabalho se concentrava em aplicações web, sobretudo sites e hotsites de grandes bancos de varejo ligados a operações de internet banking, seguros, financiamentos e cadastros. O Burp Suite foi minha primeira e principal ferramenta de análise, e eu recorria com frequência ao OWASP Top 10 para orientar a investigação. Entre as vulnerabilidades que eu mais identificava e relatava estavam XSS, SQL injection e problemas de autenticação. Também participei de testes pontuais de infraestrutura com o Cain & Abel e Wireshark em redes internas e de projetos de mapeamento de domínios e outros ativos. Eu registrava os achados em relatórios e, depois, explicava por telefone a profissionais do cliente e a equipes da LSI-TEC alocadas nos clientes como reproduzir os problemas e quais medidas recomendava para corrigi-los. Hoje, o compartilhamento de tela facilita muito esse tipo de explicação no trabalho remoto, mas naquela época as conversas por telefone me ensinaram a organizar o raciocínio técnico com clareza para quem daria continuidade ao trabalho. Ler mais 2. set. de 2016 — jun. de 2019 ## Analista de segurança da informação Berghem - Smart Information Security Setores, competências, ferramentas e referências deste período - Avaliação de maturidade Avaliação de maturidade: Participei da análise de políticas e processos de segurança de software, confrontando sua aplicação prática com as práticas do OWASP SAMM. - Segurança de aplicações (AppSec) Segurança de aplicações (AppSec): Atuei com squads de desenvolvimento em abordagens de segurança ajustadas à criticidade dos produtos, com maior intensidade na verificação antes da disponibilização das aplicações. - Modelagem de ameaças Modelagem de ameaças: Quando acompanhava soluções desde a concepção, apresentava aos times recomendações apoiadas na modelagem de ameaças. - Testes de aplicações móveis Testes de aplicações móveis: Realizei testes de vulnerabilidade principalmente manuais em aplicações para Android, iOS e Windows Phone, sobretudo em homologação e também em avaliações controladas na produção. - Análise de código Análise de código: Embora meu foco no time fosse testar aplicações, também examinei código em momentos pontuais para apoiar as avaliações de segurança. - Burp Suite Burp Suite: Usava a ferramenta nos testes manuais de segurança das aplicações acompanhadas pelas squads. - Jadx Jadx: Analisava pacotes APK de aplicações Android como parte dos testes de segurança móvel. - VS Code VS Code: Usava o editor como apoio nas análises pontuais de código realizadas durante o projeto. - Splunk Splunk: Consultava o SIEM para observar parte das reações do ambiente aos testes realizados. - OWASP SAMM OWASP SAMM: Usei o modelo como referência para avaliar a maturidade das práticas de segurança no desenvolvimento de software da instituição. Fui contratado pela Berghem, spin-off da LSI-TEC, para atuar em uma instituição financeira que exigia vínculo formal de empregado com a consultoria. Ao longo desse período, passei por dois projetos que ampliaram minha atuação em segurança da informação, com avaliação de processos e segurança no desenvolvimento de software. ### Projetos - **Avaliação de maturidade com o OWASP SAMM**6 meses Bancário Bancário: Instituições bancárias, suas aplicações e processos relacionados às operações e às jornadas dos clientes. O primeiro projeto foi contratado pela área de inspetoria de uma das maiores instituições financeiras do Brasil. O modelo adotado era o OWASP SAMM, ou OpenSAMM, como era conhecido na época. Participei da avaliação da maturidade dos processos de segurança de software, conversando com profissionais de diferentes áreas para compreender como políticas e processos eram aplicados na prática. A avaliação também se estendeu para fora da sede, com visitas a fornecedores, como call centers terceirizados, e a unidades da operação. Esse trabalho me apresentou às boas práticas de governança, enquanto as reuniões com gestores e responsáveis pela contratação me ajudaram a entender a dinâmica e a formalidade de uma grande organização. - **AppSec no desenvolvimento ágil**28 meses Bancário Bancário: Instituições bancárias, suas aplicações e processos relacionados às operações e às jornadas dos clientes. Depois, passei a integrar a equipe principal da Berghem em outra instituição financeira, atuando com os times de desenvolvimento da área de tecnologia. Nosso time se dividia em frentes e eu me concentrava nos testes de aplicações, embora também realizasse análises pontuais de código. Acompanhei diferentes squads, chegando a ser responsável por oito delas; a participação nas dailies e plannings me aproximou das equipes e ajudou a construir relações de trabalho que evoluíram ao longo dos projetos. As abordagens de segurança variavam entre as squads conforme a criticidade de cada produto. Em alguns casos, eu acompanhava a solução desde a concepção e apresentava aos times recomendações a partir da modelagem de ameaças, com atuação mais intensa na verificação de segurança antes da disponibilização. Trabalhei em sistemas internos e, sobretudo, em soluções de atendimento a pessoas físicas, além de projetos voltados a pessoas jurídicas. Cada contexto trazia regras de negócio, perfis de usuário e autorizações de acesso próprios. As iniciativas incluíam mensageria, seguros, financiamentos, internet banking e sistemas de back office. Os testes eram principalmente manuais e aconteciam em ambiente de homologação, com avaliações controladas também em produção. Entre as aplicações avaliadas estavam as versões móveis para Android, iOS e Windows Phone. Eu usava Burp Suite nos testes, Jadx para analisar pacotes APK e VS Code como apoio nas análises de código. Também recorria ao Splunk como SIEM para observar parte das reações do ambiente aos testes. Essa experiência me ajudou a compreender melhor as atividades de segurança ao longo do desenvolvimento, do desenho e da codificação à verificação das aplicações. Ler mais 3. jul. de 2019 — dez. de 2022 ## Consultor de segurança da informação Berghem - Smart Information Security Setores, competências, ferramentas e referências deste período - Liderança técnica Liderança técnica: Liderei os primeiros profissionais do projeto do hub, organizei as frentes de avaliação e revisei os trabalhos da equipe, mantendo atuação técnica nos testes de aplicações. - Segurança de aplicações Segurança de aplicações: Participei dos testes de soluções para estabelecimentos comerciais e de aplicações executadas em terminais de pagamento. - Revisão de testes físicos de POS Revisão de testes físicos de POS: Revisei os trabalhos executados por especialistas, compreendendo a arquitetura dos dispositivos e os limites das avaliações para comunicar os resultados ao contratante. - Runtime instrumentation Runtime instrumentation: Utilizei o Frida com scripts adaptados às tecnologias avaliadas para investigar o comportamento das aplicações durante a execução. - Avaliação de maturidade Avaliação de maturidade: Participei das avaliações com OWASP SAMM em uma plataforma de RH e em uma adquirente, incluindo a consolidação de resultados e a comparação qualitativa de práticas na conclusão do projeto de adquirência. - Análise de evidências de auditoria Análise de evidências de auditoria: Examinei evidências considerando os processos das áreas auditadas e as políticas, normas e requisitos aplicáveis, com apoio da equipe de auditoria interna na avaliação de sua qualidade. - Burp Suite Burp Suite: Utilizei a ferramenta nos testes de segurança de aplicações realizados nas frentes de consultoria. - Azure DevOps Wiki Azure DevOps Wiki: Consultava a documentação interna e as especificações técnicas disponíveis no ambiente do projeto. - Azure Boards Azure Boards: Acompanhava as atividades e frentes de trabalho nos quadros Kanban do projeto. - Frida Frida: Utilizei scripts de hooking adaptados às tecnologias das aplicações para observar e investigar seu comportamento em tempo de execução. - OWASP SAMM OWASP SAMM: Fundamentou as avaliações de maturidade das práticas de segurança no desenvolvimento da plataforma de RH e da adquirente. - PCI DSS PCI DSS: Era uma das referências das validações do hub. O contratante decidia os requisitos de cada escopo, e a equipe apoiava sua interpretação e seleção conforme o contexto e os testes anteriores. Como consultor, passei por projetos de auditoria, avaliação de maturidade e segurança de aplicações em contextos distintos. Acompanhei processos e evidências, participei de conversas com as equipes envolvidas e, mais tarde, liderei tecnicamente as primeiras frentes de testes de uma adquirente em integração a um hub global de pagamentos. ### Projetos - **Apoio à auditoria interna**5 meses Financiamento Financiamento: Instituição financeira voltada ao financiamento de imóveis e veículos. Eu era o único profissional da Berghem alocado nesse projeto, em uma instituição financeira voltada ao financiamento de imóveis e veículos. Trabalhei diretamente com a equipe de auditoria interna que contratou a consultoria, acompanhando pendências, analisando evidências e conversando com as áreas auditadas por meio dos "follow-ups". O ambiente era colaborativo, mas algumas reuniões exigiam cuidado especial para determinar o que constituía uma evidência de qualidade e quais ajustes eram necessários a serem realizados pelas áreas auditadas. Para avaliar esses pontos e comunicá-los com clareza, precisei compreender os processos e atividades da organização e das áreas auditadas, além das políticas, normas e requisitos aplicáveis. A equipe contratante me apoiou nesse entendimento e ajudou a calibrar a análise das evidências. A proximidade com a auditoria ampliou minha compreensão sobre sua função na organização e refinou minha comunicação em situações que demandavam maior adaptabilidade aos processos auditados. - **Avaliação de maturidade em plataforma de RH**2 meses Recursos humanos Recursos humanos: Plataforma de tecnologia voltada à gestão de recursos humanos. Também participei de uma avaliação da maturidade das práticas de segurança no desenvolvimento de uma plataforma de recursos humanos sediada no Centro-Oeste. O trabalho se apoiou principalmente em entrevistas com as áreas selecionadas para compreender como as práticas eram aplicadas. O projeto utilizou o OWASP SAMM como referência e ampliou minha experiência com a análise de processos de desenvolvimento em um setor diferente daquele dos projetos financeiros. - **Avaliação de maturidade em adquirência**1 mês Adquirência Adquirência: Soluções e operações de aceitação e processamento de pagamentos para estabelecimentos comerciais. Viajei a Porto Alegre para apoiar a etapa final de um projeto que avaliava a maturidade da esteira de desenvolvimento de uma adquirente ligada à operação brasileira de um grande banco europeu. Participei da consolidação dos resultados e da aferição de maturidade com base no OWASP SAMM. Também comparei qualitativamente as práticas avaliadas com abordagens observadas em outros projetos da consultoria para concluir esse projeto. - **Segurança na integração da adquirente a um hub global**34 meses Adquirência Adquirência: Soluções e operações de aceitação e processamento de pagamentos para estabelecimentos comerciais. Paralelamente, na mesma adquirente, participei desde o início de uma nova frente ligada à reestruturação que integraria a operação brasileira a um hub de soluções tecnológicas para meios de pagamento do banco, concebido para atuar em diferentes países. Quando o trabalho começou, o hub ainda era identificado apenas por um codinome. A consultoria alocou seus primeiros profissionais sob minha liderança técnica, e dividimos as atividades entre testes de aplicações e avaliações físicas de terminais POS. Os projetos abrangiam frentes internas da operação, como iniciativas de migração de dados, e soluções voltadas aos lojistas, entre elas merchant portal, aplicações de pagamento, portais de back office e dispositivos de diferentes tecnologias, incluindo terminais POS convencionais com sistemas embarcados e smartPOS baseados em Android. Os testes físicos eram executados por especialistas, enquanto eu revisava os trabalhos e precisava compreender a arquitetura dos dispositivos e os limites das avaliações para reportar os resultados à área de Cibersegurança contratante no Brasil. Também mantinha atuação direta nos testes de aplicações, incluindo as disponibilizadas no marketplace próprio da adquirente. O trabalho acompanhava a esteira ágil das equipes de desenvolvimento, com dailies e plannings, além das formalizações destinadas à área de Cibersegurança. Adaptávamos nossa atuação às dinâmicas de cada time. Para compreender cada solução, consultávamos especificações técnicas e das jornadas, diagramas, arquitetura e informações sobre infraestrutura em nuvem. Usávamos o Figma para examinar os desenhos, o Azure DevOps Wiki para consultar a documentação e o Azure Boards para acompanhar as atividades em Kanban, conforme os materiais e rotinas disponíveis. Nos testes de aplicações, também utilizei o Frida para observar comportamentos e realizar hooking em tempo de execução, com scripts adaptados às tecnologias avaliadas. As exigências de conformidade influenciavam a seleção periódica dos escopos, que podiam incluir infraestrutura, áreas internas seguras, pagamentos por aproximação e outras tecnologias relacionadas ao processamento de pagamentos. O PCI DSS era uma das referências dessas validações. A decisão sobre os requisitos de cada escopo cabia ao contratante, mas nossa equipe frequentemente apoiava a seleção, interpretando os requisitos à luz do contexto e dos testes anteriores. Parte dessas avaliações apoiava auditorias; outras surgiam de iniciativas de melhoria contínua do próprio time. Com o crescimento da equipe, o projeto passou a atender operações de países como México e Argentina. Também participamos de testes emergenciais de segurança durante o período de aquisição de uma adquirente uruguaia, o que exigiu compreender as particularidades e regras de negócio de cada operação. Ler mais 4. jan. de 2023 — set. de 2023 ## Líder Berghem - Smart Information Security Setores, competências, ferramentas e referências deste período - Liderança técnica Liderança técnica: Orientei a equipe, revisei avaliações e acompanhei entregas, mantendo participação técnica conforme a necessidade de cada projeto. - Segurança de aplicações Segurança de aplicações: Atuei em avaliações de soluções de adquirência, bancos e investimentos, adaptando os testes às tecnologias e regras de negócio. - Análise de código Análise de código: Examinei código para compreender o comportamento das aplicações e apoiar a identificação de pontos relevantes aos testes. - Runtime instrumentation Runtime instrumentation: Utilizei hooking e scripts adaptados às tecnologias para investigar aplicações que empregavam criptografia local e na comunicação. - Comunicação de resultados Comunicação de resultados: Refinei a apresentação dos achados em uma narrativa técnica conectada à jornada do cliente, explicando as relações entre as vulnerabilidades identificadas. - Burp Suite Burp Suite: Continuei utilizando a ferramenta nas avaliações de segurança de aplicações em que participava diretamente. - Jadx Jadx: Utilizei a ferramenta para apoiar a análise de pacotes APK e a compreensão das aplicações Android avaliadas. - VS Code VS Code: Utilizei o editor no apoio à análise de código e à preparação de scripts para as investigações. - Splunk Splunk: Continuei recorrendo à ferramenta conforme o ambiente e as necessidades de observação das avaliações. - Frida Frida: Desenvolvi e adaptei scripts de hooking para investigar o comportamento das aplicações em tempo de execução, inclusive nos projetos com uso intenso de criptografia. - Azure DevOps Wiki Azure DevOps Wiki: Na continuidade do projeto do hub, consultava a documentação e as especificações técnicas que contextualizavam as avaliações. - Azure Boards Azure Boards: Na continuidade do projeto do hub, acompanhava as atividades e entregas nos quadros de trabalho. - PCI DSS PCI DSS: Permaneceu como uma das referências das validações na continuidade do projeto do hub de meios de pagamento. A mudança para o cargo de líder formalizou uma responsabilidade que eu já exercia como consultor no projeto do hub global de meios de pagamento. Continuei orientando e revisando os testes da equipe, acompanhando as entregas e participando das análises técnicas. Minha atuação passou a se concentrar cada vez mais na liderança e na revisão dos trabalhos, mantendo participação direta em testes e investigações que exigiam aprofundamento. Nessas frentes, continuei utilizando ferramentas como Burp Suite, Jadx, VS Code e Splunk, conforme o contexto das avaliações. O Frida ganhou espaço nas investigações que exigiam compreender o comportamento das aplicações durante a execução e desenvolver scripts específicos para as tecnologias encontradas. ### Projetos - **Continuidade no hub global de meios de pagamento**9 meses Adquirência Adquirência: Soluções e operações de aceitação e processamento de pagamentos para estabelecimentos comerciais. Mantive a atuação nas frentes de segurança apresentadas no período como consultor, combinando a liderança técnica com testes de aplicações e revisão das avaliações físicas realizadas pelos especialistas. O acompanhamento das atividades e a comunicação dos resultados continuavam relacionados às necessidades das operações atendidas pelo hub e às formalizações destinadas à área de Cibersegurança contratante. Os projetos envolviam contextos internos, como migração de dados, e soluções voltadas aos lojistas, incluindo merchant portal, terminais POS e portais de back office; os testes variavam conforme o escopo de cada frente. - **Segurança de aplicações em banco de varejo**Em paralelo Bancário Bancário: Instituições bancárias, suas aplicações e processos relacionados às operações e às jornadas dos clientes. Em paralelo ao trabalho no hub, passei a atuar em projetos de outro grande banco privado brasileiro. As aplicações usavam criptografia local intensa e protegiam a comunicação com os servidores, o que exigia compreender seu comportamento durante a execução para conduzir os testes. Trabalhei em avaliações gray-box com o Frida e scripts específicos para interceptar funções e examinar o tratamento dos dados. A investigação e a preparação desses scripts exigiam bastante trabalho manual, em um período anterior à disponibilidade dos agentes de IA que hoje podem auxiliar nesse tipo de análise. Considerando esse projeto e os anteriores, minha experiência passou a abranger os três maiores bancos privados com atuação no Brasil. - **Segurança de aplicações em corretora de investimentos**Em paralelo Investimentos Investimentos: Serviços e aplicações de uma corretora de investimentos. Também participei de projetos de uma grande corretora de investimentos, com testes gray-box e abordagem semelhante à utilizada nos projetos bancários. A análise do comportamento das aplicações e as técnicas de runtime instrumentation eram adaptadas às tecnologias e às proteções encontradas, ampliando minha experiência com essas abordagens em diferentes contextos do setor financeiro. - **Segurança de aplicações em banco de rede de supermercados**Em paralelo Bancário Bancário: Instituições bancárias, suas aplicações e processos relacionados às operações e às jornadas dos clientes. Em outra frente paralela, participei de testes para um banco ligado a uma rede europeia de supermercados. As avaliações de aplicações ocorreram em diferentes fases e acompanharam a jornada do cliente, desde o onboarding até o encerramento da relação com a instituição. A frente também incluiu avaliações pontuais de redes Wi-Fi em lojas específicas, com tentativas de acesso a áreas não autorizadas e de quebra de senhas de redes privadas, além da interação com totens de autoatendimento usados na gestão da conta de crédito do cartão. Aplicamos os conhecimentos de segurança de aplicações dessas outras frentes e refinamos a apresentação dos resultados para relacionar os achados em uma narrativa técnica coerente, conectando as vulnerabilidades às etapas da jornada e explicando como se relacionavam. Essa experiência ampliou meu cuidado com a organização dos relatórios e com a clareza da comunicação dos resultados. Ler mais 5. out. de 2023 — nov. de 2024 ## Coordenador de segurança da informação Berghem - Smart Information Security Setores, competências, ferramentas e referências deste período - Consultoria Consultoria: Serviços de segurança da informação e propostas para os processos internos da própria consultoria. - Coordenação de projetos Coordenação de projetos: Acompanhei projetos simultâneos de testes de segurança e o alinhamento das abordagens técnicas com as necessidades dos clientes. - Comunicação de riscos Comunicação de riscos: Apresentei resultados a públicos técnicos e executivos, relacionando os achados aos possíveis impactos para o negócio. - Mapeamento de processos Mapeamento de processos: Mapeei processos da equipe do diretor para fundamentar propostas de organização do trabalho e da gestão da segurança da informação. - Automação de fluxos de trabalho Automação de fluxos de trabalho: Desenvolvi fluxos e propostas de automação e integração entre ferramentas Microsoft para apoiar rotinas internas. - Capacitação Capacitação: Ministrei treinamentos para profissionais de desenvolvimento e DevSecOps dos clientes. - Gestão da segurança da informação Gestão da segurança da informação: Estudei e apliquei conceitos da ISO/IEC 27001 à elaboração de propostas para um projeto interno de gestão. - Power Automate Power Automate: Propus o uso da ferramenta para automatizar tarefas e desenvolvi fluxos de trabalho relacionados às rotinas internas. - Power Apps Power Apps: Incluí a ferramenta nas propostas de transformação tecnológica para apoiar os processos internos e sua integração ao ambiente Microsoft. - ISO/IEC 27001 ISO/IEC 27001: Orientou o estudo e a elaboração das propostas iniciais de gestão da segurança da informação, relacionadas aos processos da equipe do diretor. A coordenação ampliou minha responsabilidade pelo acompanhamento simultâneo de projetos de testes de segurança, pelo alinhamento das abordagens técnicas com os clientes e pela apresentação dos resultados a diferentes públicos. Também participei da evolução dos métodos de trabalho da equipe e ministrei treinamentos para clientes, incluindo profissionais de desenvolvimento e DevSecOps. Nesse período, comecei a elaborar propostas para um projeto interno orientado pela ISO/IEC 27001, a partir do estudo da norma e do mapeamento dos processos da equipe do diretor. O trabalho envolveu compreender as rotinas existentes e propor formas de organizar responsabilidades, informações e comunicação. Também propus a adoção do Power Automate e do Power Apps, com integrações ao Microsoft Teams, plataforma de comunicação interna, e desenvolvi fluxos de trabalho para explorar essas possibilidades. A elaboração dessas propostas me ajudou a relacionar os conceitos de gestão às necessidades concretas da organização. Ler mais 6. dez. de 2024 — out. de 2025 ## Gerente de segurança da informação Berghem - Smart Information Security Setores, competências, ferramentas e referências deste período - Consultoria Consultoria: Serviços de segurança da informação e propostas para os processos internos da própria consultoria. - Gestão da segurança da informação Gestão da segurança da informação: Elaborei propostas de diretrizes e práticas de gestão com base na ISO/IEC 27001 e no contexto da consultoria. - Estruturação de processos Estruturação de processos: Relacionei o mapeamento dos processos às propostas de responsabilidades, comunicação e automação de tarefas. - Comunicação organizacional Comunicação organizacional: Desenvolvi propostas para organizar a circulação de informações e apoiar a coordenação do trabalho. - Gestão de projetos Gestão de projetos: Propus diretrizes operacionais para organizar processos, responsabilidades e colaboração nos projetos da consultoria. - ISO/IEC 27001 ISO/IEC 27001: Fundamentou a elaboração das propostas do projeto interno de gestão da segurança da informação, que permaneceu em desenvolvimento durante o período. Dei continuidade à elaboração de propostas para um projeto interno de gestão da segurança da informação orientado pela ISO/IEC 27001. A partir do trabalho iniciado na coordenação, busquei relacionar o mapeamento dos processos da equipe do diretor às propostas de comunicação, automação de tarefas e organização de responsabilidades. Essa etapa ampliou minha atuação na formulação de diretrizes e na preparação de subsídios para decisões sobre o trabalho e os riscos de segurança da informação. A elaboração dessas propostas aprofundou meu entendimento sobre os desafios de traduzir referências de gestão para o contexto da organização. Na consultoria, também elaborei propostas de diretrizes operacionais para os projetos, com atenção aos processos, às responsabilidades, à colaboração entre equipes técnicas e à interlocução com clientes. Ler mais 7. out. de 2025 — atual ## Projeto BMTV Projeto próprio Setores, competências, ferramentas e referências deste período - Varejo Varejo: Desenvolvimento de um PDV a partir das necessidades de uma loja de decoração, com perspectiva de aplicação no pequeno varejo. - Governança Governança: Defino orientações, responsabilidades e critérios para conduzir o projeto e avaliar o trabalho realizado com apoio de agentes de IA. - Gestão de riscos Gestão de riscos: Relaciono os riscos às decisões de desenvolvimento, às necessidades do varejo e aos limites de atuação dos agentes de IA. - Segurança da informação Segurança da informação: Traduzo referências de segurança em orientações e critérios aplicáveis ao produto e ao ambiente de governança. - Desenvolvimento de produto Desenvolvimento de produto: Parti das necessidades de uma loja de decoração para desenvolver um PDV e avaliar sua evolução no contexto do pequeno varejo. - Coordenação de agentes de IA Coordenação de agentes de IA: Oriento a execução, delimito responsabilidades e avalio resultados, preservando a decisão humana e o registro das evidências do trabalho. - ISO/IEC 27001 ISO/IEC 27001: Orienta a estruturação da gestão da segurança da informação no BMTV, considerando o contexto, os riscos e as responsabilidades do projeto. - ISO 31000 ISO 31000: Fundamenta aspectos da identificação, avaliação, tratamento e acompanhamento dos riscos no contexto do projeto. - ISO/IEC 27002 ISO/IEC 27002: Apoia a seleção e a interpretação de controles de segurança, incluindo proteção de registros, monitoramento e cuidados durante testes. - OWASP SAMM OWASP SAMM: Orienta a incorporação gradual de práticas de segurança no desenvolvimento de software, conforme os critérios de governança do BMTV. - ISO/IEC 27007 ISO/IEC 27007: É uma referência de apoio para o tratamento das auditorias de gestão da segurança da informação no projeto. - NIST AI RMF NIST AI RMF: É uma fonte de apoio às definições e à discussão de riscos, avaliação e participação humana no uso de inteligência artificial apresentadas no portal. Iniciei o Projeto BMTV imediatamente após minha saída da Berghem para materializar meu aprendizado recente em segurança da informação e gestão em um contexto diferente daquele ao qual estava habituado. Investi tempo e recursos próprios no desenvolvimento de um PDV a partir das necessidades da loja de decoração do meu pai, aplicando desde o início práticas próprias de governança para orientar o trabalho com agentes de IA. A experiência evoluiu para uma estrutura de governança mais abrangente e seu portal, reunindo práticas de segurança, gestão de riscos e qualidade para experimentar, registrar decisões e avaliar resultados. Ler mais ## Formação acadêmica - ### Fundação Getulio Vargas Processos Gerenciais mar. de 2026 – nov. de 2027 Em andamento. Conclusão prevista para novembro de 2027. - ### Pontifícia Universidade Católica de São Paulo Computer Science ## Formação complementar ![Badge FGV do curso Estrutura e Processos Organizacionais](https://adriano.live/images/badges/fgv-estrutura-processos-organizacionais.png) ### Estrutura e Processos Organizacionais Fundação Getulio Vargas · Concluído em novembro de 2025 [Ver certificado e badge (abre em nova aba)](https://www.brasilopenbadge.com.br/pages/badge/f0ca82f85a9986dbccc44794727c68ad) ## Entre em contato comigo Você pode falar comigo pelo LinkedIn ou pelo meu e-mail pessoal para conversar sobre oportunidades, projetos e trocar ideias. [LinkedIn (abre em nova guia)](https://www.linkedin.com/in/adriano-batista-a9556012a/)