sobre
Vitor Sienna
Security Operations Lead · DevSecOps, AppSec e Blue Team
Líder de operações de segurança com background em AppSec e DevSecOps: WAF e defesa L7, detecção e resposta a incidentes, SAST, DAST e SCA em pipelines de CI/CD. Este site é o meu caderno público de estudo e portfólio: um mapa interativo que mostra o que cada verificação faz, onde ela entra na esteira e como as peças se conectam.
Brasília, Brasil Português (nativo) · Inglês (fluente)
- DevSecOps
- AppSec
- WAF
- SAST
- DAST
- SCA
- CI/CD
- Cloud Security
- Blue Team
- Automação
experiência
CloudWalk · Security Operations Lead / Security Engineerfev/2025 – hoje
Liderança de SOC, defesa L7, telemetria de borda e aplicação, resposta a incidentes e pós-mortem com hardening.
BB Tecnologia e Serviços · Senior Application Security Engineerjan/2024 – fev/2025
Estratégia DevSecOps, pipelines no Azure DevOps com Defender, treinamentos e workshops de segurança.
NOVA8 · Application Security Engineerjun/2023 – fev/2024
Análise de código, gestão de vulnerabilidades, desenvolvimento seguro e automação de segurança.
Every Cybersecurity and GRC Solutions · Analista de tecnologiamai/2021 – jun/2023
Automações e integrações de GRC e segurança em Python e NodeJS, com atendimento a clientes de grande porte.
Vert Integradora de TI · Suporte técnicojan/2019 – jan/2021
Servidores Linux e Windows, scripts de automação (Python, Ansible, PowerShell).
formação
Pós-graduação em cibersegurança ofensiva · Acadi-TI2022 – 2024
Análise e Desenvolvimento de Sistemas (CST) · UniCEUB2016 – 2018
certificações
Microsoft Certified: Azure AI Engineer Associate
Microsoft · emitida em nov/2024, expirada em nov/2025
CSAE · Certified Security Architecture Expert
Acadi-TI · mai/2023
CNSE · Certified Network Security Expert
Acadi-TI · 2022
por que este projeto existe
Ferramentas de segurança costumam ser apresentadas isoladas: SAST aqui, SCA ali, IAM em outro lugar. O que falta é o mapa: onde cada controle entra, o que ele cobre, o que deixa passar e como as peças se completam.
Por isso cada domínio é um grafo navegável, com trilhas de estudo, cenários de ataque que mostram as camadas em ação e quizzes para fixar. É uma forma mais visual de aprender e, ao mesmo tempo, uma amostra de como o projeto foi pensado e construído.
bastidores técnicos
Superfície mínima
Site 100% estático: sem backend, banco, formulários ou cookies. A CSP restritiva e os demais cabeçalhos estão versionados no repositório.
Conteúdo validado em build
Um validador roda antes do build e quebra se um tópico perde posição no mapa, um quiz fica incompleto ou uma trilha aponta para tópico inexistente.
Orçamento de desempenho
O build falha se o tamanho do bundle passar dos limites. O JS do cliente foi reduzido ao manter o conteúdo dos tópicos no servidor e carregar quiz e busca sob demanda.
Acessibilidade e movimento
Navegação por teclado no mapa, rótulos para leitores de tela, foco visível e respeito a prefers-reduced-motion.
Privacidade por padrão
Sem rastreamento. O único dado guardado é o progresso de estudo, no navegador de quem estuda, e dá para apagar quando quiser.
Traduções sem drift
O inglês é a fonte da verdade. Cada tradução guarda um hash do texto de origem, então quando o original muda a tradução é sinalizada e o build falha até ela ser atualizada.
O checklist completo, com a CSP real e os trade-offs, está em /security.
sobre o conteúdo
Encontrou um erro ou uma imprecisão? Me avise pelo LinkedIn: corrijo e registro no changelog.
Mudanças e correções ficam registradas em /changelog.
Vamos conversar?
Se este mapa foi útil, ou se você quer falar sobre segurança de software, a melhor forma de me achar é o LinkedIn.
abrir meu LinkedIn