Analista de Segurança da Informação (SecOps) — Pleno

O Clinicorp é a plataforma de gestão para clínicas de odontologia e estética, presente em mais de 30 mil clínicas pelo Brasil. Já passamos de R$ 100 milhões em receita recorrente anual (ARR) e, em 2025, nossa fintech integrada (Clinipay) movimentou mais de R$ 5 bilhões em pagamentos. Lidamos com dados sensíveis de saúde e fluxos financeiros — o que torna a segurança um tema central do negócio.

Nossa cultura tem cara de jogo, guiada por princípios como Extreme ownership e por um fit cultural de atitude protagonista e de ser antifrágil — encarar problemas como oportunidades. Todo Clinicorper joga para vencer.

Acabamos de estruturar um programa de cibersegurança focado nos nossos processos internos de credenciais e acesso — a peça que, até agora, não tinha dono. Você será esse dono: vai tirar a empresa de um modelo reativo para um modelo preventivo, com processos, políticas e controles bem definidos. É uma posição de Extreme ownership na veia — dono de processo e governança, com mão na massa de configuração, reportando à Coordenação de Infraestrutura e com visibilidade direta da liderança.

No dia a dia, você vai conduzir as frentes do nosso programa de segurança:

• Identidade e acesso (IAM) — dono do processo: definir e manter as políticas de 2FA, acessos nominais e menor privilégio, conduzir as revisões periódicas e garantir que o processo seja seguido. (A operação de provisionamento e concessão/revogação de acessos é terceirizada.)
• Credenciais e proteção de dados: eliminar a circulação de credenciais por e-mail, administrar o cofre de senhas corporativo e configurar/evoluir o DLP do Google Workspace.
• Acesso a plataformas de parceiros: definir acessos seguros, nominais e rastreáveis aos portais de parceiros (ex.: meios de pagamento e antecipação) e, onde não houver SSO/2FA, especificar alternativas de acesso controlado.
• Navegador: administrar o Chrome Enterprise Core (políticas, visibilidade da frota e atualizações de segurança) em Windows e Mac; gerir a lista de extensões permitidas e avaliar a segurança de extensões desenvolvidas pelas áreas de negócio antes de liberá-las.
• Governança de IA: definir e zelar por políticas de menor privilégio, segregação de ambientes e aprovação humana para ações sensíveis de agentes de IA.
• Interface com PenTest e articulação técnica: ser o ponto de contato com a empresa especialista em testes de intrusão (acompanhamento e tratativa dos achados) e direcionar/alinhar as ações de segurança com o squad de Arquitetura e demais áreas.
• Conscientização e treinamento: conduzir treinamentos internos de boas práticas de segurança, em parceria com o time de Antifraude.
• Operação e governança contínua: manter políticas e documentação, definir e acompanhar métricas (ex.: zero credenciais por e-mail, % de acessos com 2FA, % de acessos nominais), apoiar a resposta a incidentes junto a Infraestrutura e Antifraude e gerir requisitos de segurança com fornecedores e parceiros.

Experiências que esperamos: que você já tenha conduzido iniciativas de segurança de ponta a ponta — idealmente administrando identidade e acesso (SSO, MFA), trabalhando com Google Workspace (ou M365), gerindo credenciais/segredos e atuando com segurança de navegador. Vivência em fintech, saúde ou SaaS, e em acompanhamento de PenTest e gestão de vulnerabilidades, conta pontos.

O que esta vaga não é:

• Não é DevOps nem desenvolvimento — você não vai escrever ou alterar o código do produto.
• Não é a operação do dia a dia da gestão de acessos — o provisionamento e a concessão/revogação ficam com a equipe responsável; aqui você é dono do processo e das políticas.
• Você não executa PenTest nem opera um SOC 24/7 — faz a interface com a empresa especialista e foca em processo, política, configuração e governança.

• Vivência sólida em Segurança da Informação, SecOps ou Infraestrutura com foco em segurança.
• Conhecimento prático de gestão de identidade e acesso: SSO, MFA/2FA, ciclo de vida de acessos e menor privilégio.
• Vivência em administração de Google Workspace (Admin Console) — ou equivalente (M365), com disposição para atuar no ecossistema Google.
• Gestão de credenciais e segredos (cofre de senhas) e noções de DLP.
• Gestão de navegador (MDM e/ou políticas de browser corporativo).
• Noções de nuvem (GCP ou AWS).
• Conhecimento de LGPD e de boas práticas de segurança (ISO 27001, CIS Controls).
• Habilidades: organização, autonomia, boa documentação e comunicação clara para articular áreas técnicas (Arquitetura, Antifraude), fornecedores e liderança — inclusive conduzindo treinamentos de conscientização.

Diferenciais

• Certificações como CompTIA Security+, ISO 27001 ou Google Workspace Administrator.
• Vivência em fintech, saúde ou SaaS.
• Ferramentas: Chrome Enterprise, cofres de senha (ex.: Bitwarden) e MDM (ex.: Mosyle).
• Gestão de vulnerabilidades e acompanhamento de testes de intrusão (PenTest).
• Inglês para leitura de documentação.