O portal de carreiras mantido pelo governo dos Estados Unidos tem uma página só sobre certificações em cibersegurança. Ela entrega um método, sem lista de nomes, e avisa que não reúne todas as certificações disponíveis. A orientação é começar pela função que se quer exercer e só depois procurar a prova. Este artigo aplica o método a cinco trilhas, com o NICE Framework, do NIST, como mapa.
O que a certificação prova e o que ela não prova
O NICE Framework descreve o trabalho em tarefas e o profissional em conhecimentos e habilidades. Pelo documento, um órgão certificador pode definir uma competência e avaliá-la por prova. Quem passa demonstra essa competência como o certificador a definiu.
As tarefas seguem o contexto de cada organização. O documento prevê também uma avaliação feita pelo empregador: entrevista, teste pré-contratação ou observação no trabalho. Uma certificação em segurança da informação cobre a primeira avaliação. A segunda continua em aberto.
Função de trabalho (work role) e cargo são coisas diferentes: uma vaga pode cobrir mais de uma função, ou só parte de uma. E o documento-base do framework não define níveis de proficiência.
Trilha de defesa (SOC e Blue Team): entrada, intermediária, avançada
Para quem planeja carreira em SOC, a categoria de referência é Protection and Defense. Ela reúne funções como Defensive Cybersecurity, Incident Response e Vulnerability Analysis, e trata de proteger, identificar e analisar riscos a sistemas e redes.
O framework traz dois exemplos de habilidade. Simples: reconhecer os alertas de um sistema de detecção de intrusão. Complexa: formular uma hipótese de como o atacante contornou esse sistema.
Sobre senioridade, o guia público de carreira ligado ao framework orienta: na entrada, pesquisar as certificações de interesse e obter as de nível iniciante; no intermediário, fazer cursos ligados à certificação desejada; no avançado, cursos e exames de credenciais mais avançadas. A Cyber Career Pathways Tool mostra, por função, indicações de certificação para os três níveis.
Trilha ofensiva (pentest e Red Team)
O framework descreve o Red Team como um time de defesa que imita as técnicas de ataque do adversário. O exemplo do documento lista as competências desse time: planejamento do engajamento, regras de engajamento, teste de intrusão, coleta de dados e exploração de vulnerabilidades.
O conhecimento de ferramentas e técnicas de avaliação de vulnerabilidades aparece em funções de defesa (Defensive Cybersecurity), de exploração (Exploitation Analysis) e de governança (Security Control Assessment).
Trilha de nuvem e aplicação
Em aplicação, a função é Secure Software Development. Pela documentação do framework, ela pode corresponder a cargos como engenheiro de software, programador e desenvolvedor de aplicações.
Nuvem e DevSecOps entram no framework como áreas de competência, que podem ser combinadas com uma função. A de nuvem trata de proteger dados, aplicações e infraestrutura. A de DevSecOps trata a segurança como responsabilidade compartilhada ao longo do ciclo de desenvolvimento, segurança e operações.
A categoria Oversight and Governance cobre liderança e gestão do risco cibernético da organização. Entre as funções estão Cybersecurity Policy and Planning, Security Control Assessment e Systems Security Management.
Em pesquisa global de 2026 com mais de 700 profissionais ligados a OT, 89% esperam aumento de regulamentação em até cinco anos. Em 2025 eram 66%. A amostra é de empresas com mais de 1.000 colaboradores, principalmente de manufatura e energia.
Trilha de OT/ICS: a função que trabalha dentro da engenharia
O framework tem uma função específica, Operational Technology (OT) Cybersecurity Engineering. Ela atua no departamento de engenharia e faz a ponte com o CISO, os gerentes de planta e os técnicos de cibersegurança industrial. Entre os conhecimentos listados estão os níveis do Modelo Purdue e os sistemas de segurança (safety) de OT.
Na mesma pesquisa, 81% pretendem transferir a cibersegurança de OT para o CISO nos próximos 12 meses. O relatório da pesquisa conclui que a convergência entre TI e OT exige compromisso com a capacitação de profissionais qualificados.
Há cursos públicos de segurança de ICS sem custo de matrícula, um deles para gestores.
Como escolher a ordem sem queimar dinheiro
O guia público de carreira propõe uma sequência: identificar as funções, avaliar a própria proficiência, priorizar funções, identificar o treinamento e montar o plano. A certificação aparece depois da escolha da função.
O guia dá dois critérios para priorizar: começar pelas funções em que a proficiência é menor e pelos conhecimentos que pesam no trabalho atual; e, no início da carreira, buscar habilidades complementares e explorar mais de uma função.
Para comparar funções, a Cyber Career Pathways Tool mostra quais têm mais tarefas, conhecimentos e habilidades em comum. Para chegar aos nomes, há uma planilha pública que relaciona certificações às funções do framework. Ela é feita por um consórcio dos próprios emissores de certificação.
Para quem contrata, a documentação indica o mesmo framework para redigir descrições de vaga e planejar treinamento.
O guia de carreira lista onde praticar: competições e jogos em ambiente controlado, microdesafios para funções como Defensive Cybersecurity e Incident Response, estágio e mentoria.
Na pesquisa com profissionais de OT, a responsabilidade pela cibersegurança se estende com frequência a vice-presidentes e executivos que não têm necessariamente formação técnica. O relato de um incidente chega a esse público.
Participe do CyberSprint, responda uma pergunta por dia e concorra a um drone DJI Mini 4K.
Fonte: Relatório 2026 sobre o Estado da Tecnologia Operacional e Cibersegurança, Fortinet, 2026.
Referências: NICE Framework (NIST SP 800-181 Rev. 1) e NICE Framework Components, NIST; Cybersecurity Certifications, Career Development and Training Guide, Cyber Career Pathways Tool e ICS Virtual Learning Portal, CISA.
Mayara Pimentel
Executiva de marketing com 6 anos de experiência e um histórico comprovado de impulsionar resultados por meio de estratégias inovadoras. Especialista em marketing orientado a resultados, com foco em estratégias de alta performance.
