O seu negócio acabou de sobreviver a um ataque de ransomware. Os dados dos clientes estão encriptados, a sua reputação está sob escrutínio e o tempo de inatividade está a custar dinheiro. Liga a um contacto de segurança que conhece e ouve: «Pessoal, estou com a agenda fechada para os próximos três meses.»

Mais informações: Duda Development Services.

A procura por profissionais de cibersegurança supera largamente a oferta. De acordo com o estudo de 2024 da ISC2, o desfasamento global entre as necessidades de mão de obra e o número efetivo de profissionais atingiu 4,8 milhões de pessoas, mais 19% do que no ano anterior. Trata-se de uma mudança estrutural no mercado de trabalho, não de uma escassez temporária.

Reunimos os números mais recentes, as verdadeiras razões por detrás da seca de talento e as estratégias que ajudam as empresas a garantir profissionais de segurança sólidos, mesmo numa competição feroz por talento.

💡 Visão geral rápida:

• Desfasamento global da força de trabalho em cibersegurança: 4,8 milhões de profissionais, e a diferença continua a aumentar.
• Principais barreiras à contratação: falta de orçamento, tempos de preenchimento longos e concorrência renhida com empresas de tecnologia.
• O que funciona: formato híbrido, formação interna, repensar os requisitos dos candidatos e integrar a segurança nas funções de TI adjacentes.
• A vislumbrar no futuro: a IA assume as tarefas de Nível 1, mas a procura por arquitetos, profissionais de segurança na cloud e engenheiros de segurança de IA só aumenta.

Porque é que a cibersegurança se tornou um ativo de negócio crítico

A digitalização está a consumir um setor após o outro. Finanças, retalho, saúde, logística funcionam com base em software, clouds e APIs. Cada novo ponto de entrada digital é um potencial vetor de ataque. Phishing, ransomware, ataques à cadeia de fornecimento, os agentes de ameaça trabalham de forma mais rápida e criativa do que há cinco anos.

Ao mesmo tempo, o cerco regulatório está a apertar. O RGPD na Europa, leis semelhantes em dezenas de jurisdições, normas do setor como a PCI DSS exigem que as empresas não se limitem a «instalar um antivírus», mas que construam um sistema de defesa completo. Uma multa por violação de dados pessoais é comparável à receita anual de uma unidade de negócio.

Em suma: a cibersegurança já não é o domínio de um administrador de sistemas na sala dos servidores. É uma função ao nível do conselho de administração que afeta diretamente a sobrevivência de uma empresa.

A dimensão da escassez: números e riscos reais

De acordo com o Estudo da Força de Trabalho em Cibersegurança da ISC2 para 2024, a força de trabalho global ativa em cibersegurança é de 5,5 milhões de pessoas, enquanto a necessidade ultrapassa os 10 milhões. O desfasamento de 4,8 milhões não é uma abstração: cada posto por preencher significa registos não verificados, alertas não detetados e uma resposta a incidentes atrasada.

O estudo de 2025 da ISACA, que inquiriu cerca de 4.000 profissionais, mostrou que: 55% das equipas têm falta de pessoal e 65% das organizações têm vagas por preencher. Ao mesmo tempo, 38% dos inquiridos relataram que a contratação, mesmo para posições de entrada, demora entre três a seis meses.

O Fórum Económico Mundial, no Global Cybersecurity Outlook 2025, registou que: apenas 14% das organizações dispõem do número necessário de profissionais qualificados. As restantes 86% trabalham com o que têm, em condições em que uma em cada duas empresas enfrentou um incidente devido à falta de competências na equipa de segurança.

Porque é que as empresas estão a perder a batalha pelo talento

Existem várias razões, e o orçamento é apenas uma delas. De acordo com a ISC2, a «falta de orçamento» ultrapassou pela primeira vez a «falta de candidatos qualificados» como a principal causa da escassez de mão de obra. 33% das organizações não podem pagar salários de mercado a profissionais de segurança, e 29% não conseguem financiar o número necessário de efetivos.

Outro problema é a competição pelo talento. Empresas de tecnologia especializadas e corporações internacionais oferecem salários e condições que as empresas de média dimensão não conseguem igualar. O salário médio anual de um analista de segurança da informação nos EUA, de acordo com o Bureau of Labor Statistics de maio de 2024, é de $124.910, quase o triplo da mediana para todas as profissões. O percentil 90 ultrapassa os $186.000.

O terceiro fator são os requisitos de contratação inflacionados. As empresas procuram um «unicórnio»: alguém que saiba fazer testes de penetração, conheça arquitetura de cloud e lidere uma equipa de cinco pessoas. Há muito poucas dessas pessoas no mercado. Uma abordagem mais pragmática, contratar para domínios específicos e desenvolver competências internamente, ainda é usada por poucos.

Como a cibersegurança está a infiltrar-se nas funções de TI adjacentes

Uma tendência dos últimos dois anos: requisitos de segurança em anúncios de emprego que anteriormente não tinham qualquer sobreposição com a área. Um programador de SharePoint, um engenheiro de integração, um especialista em DevOps, todos precisam agora de um nível básico de sensibilização para a segurança.

Veja-se o caso da Descrição de Função de Programador de SharePoint: um modelo moderno para esta posição inclui conhecimentos de princípios de proteção de dados e gestão de acessos. A plataforma SharePoint é amplamente utilizada para armazenar informações corporativas sensíveis, desde relatórios financeiros a documentos de RH. As empresas querem ter a certeza de que o programador que configura estes sistemas compreende como funcionam as permissões, a encriptação e a auditoria de acessos.

Uma história semelhante aplica-se ao desenvolvimento web. As plataformas digitais estão sob constante pressão de ataque, desde DDoS à exploração de vulnerabilidades de plugins. Integrar a proteção na fase de desenvolvimento, e não a posteriori, tornou-se um padrão para fornecedores e agências.

Mais informações sobre «Descrição de Função de Programador de SharePoint» podem ser encontradas no link.

A questão é que a procura por competências de segurança não está a crescer apenas através de vagas dedicadas. Está a espalhar-se por toda a organização de TI, alimentando a escassez geral.

Estratégias: como encontrar e reter profissionais de segurança neste momento

A boa notícia: mesmo com o desequilíbrio atual, as empresas podem vencer a batalha pelo talento. Eis o que funciona.

Invista em formação, não apenas em contratação. Parcerias com universidades, patrocínio de certificações (CISSP, CEH, CompTIA Security+) e programas de estágio proporcionam um fluxo de candidatos leais especificamente à sua empresa. De acordo com a ISC2, 95% das organizações notam a falta de pelo menos uma competência na sua equipa, e 59% reportam lacunas críticas ou significativas. A formação interna colmata estas falhas mais rapidamente do que a procura por um especialista já pronto.

Ofereça um formato de trabalho flexível. O trabalho remoto e híbrido tornaram-se obrigatórios para os profissionais de TI. As empresas que insistem em cinco dias no escritório afastam uma parte significativa dos potenciais candidatos na fase de triagem de currículos. Para um profissional de segurança que monitoriza registos a partir de qualquer lugar do mundo, a presença física raramente é uma necessidade operacional.

Desenvolva profissionais de segurança internamente. Um engenheiro de DevOps que queira aprofundar conhecimentos em segurança na cloud, ou um administrador de sistemas com interesse em resposta a incidentes, são candidatos prontos para a requalificação. Eles já conhecem a sua infraestrutura. Resta apenas dar-lhes tempo para formação, um orçamento para certificação e um mentor da atual equipa de segurança.

Para onde caminha o mercado: IA, automação e novas funções

O futuro do mercado de trabalho em cibersegurança é moldado por três forças.

Primeiro, a inteligência artificial. A Gartner prevê que, até 2028, mais de 50% das tarefas de um analista de SOC de Nível 1 serão executadas por IA. De acordo com o Splunk State of Security 2025, 33% das equipas planeiam colmatar as lacunas de mão de obra com IA e automação. A procura está a mudar de operadores de alertas para engenheiros de segurança de IA que concebem e supervisionam estes sistemas.

Segundo, o burnout como risco operacional. A Sophos para 2025 registou uma perda de 4,8 horas de trabalho por semana por especialista devido ao burnout (um aumento de mais de 25% em relação ao ano anterior). 63% dos CISO, de acordo com a Proofpoint, já experimentaram pessoalmente o burnout ou observaram-no na sua equipa. As empresas que ignoram este problema perdem pessoas mais rapidamente do que contratam novas.

Terceiro, o crescimento da procura na próxima década. O Bureau of Labor Statistics dos EUA prevê um aumento de 29 por cento no número de posições de analista de segurança da informação entre 2024 e 2034, muito mais rápido do que a média para todas as profissões. Cerca de 16.000 vagas anuais apenas nos EUA.

⁉️🤔 Perguntas frequentes

Porque é que há tão poucos profissionais de cibersegurança?

A principal razão é a velocidade do crescimento da procura. As ameaças multiplicam-se mais depressa do que as universidades formam especialistas qualificados. Uma barreira de entrada elevada: espera-se que um recém-chegado compreenda redes, SO, clouds e requisitos regulamentares, um conjunto que exige anos de prática.

A escassez é agravada pelo facto de 33% das organizações não terem orçamento para salários de segurança a preços de mercado, de acordo com dados da ISC2 de 2024. Ao mesmo tempo, 65% das empresas mantêm vagas por preencher durante meses. O mercado está sobreaquecido de ambos os lados: os empregadores não conseguem encontrar pessoas, os candidatos não veem ofertas adequadas por parte de não monopolistas.

Que certificações ajudam realmente na contratação?

Os empregadores valorizam certificações orientadas para a prática: CISSP para arquitetos e gestores, CEH e OSCP para pentesters, CompTIA Security+ para iniciantes. De acordo com o Relatório de Lacunas de Competências de 2025 da Fortinet, 89% dos gestores de contratação preferem candidatos certificados. Mas um certificado sem experiência real é apenas uma linha num currículo.

As certificações funcionam como um filtro na fase de triagem, não como um substituto da prática. A melhor estratégia é combinar: uma ou duas certificações reconhecidas, mais trabalho de laboratório, competições CTF ou contribuições open-source que possa mostrar numa entrevista.

É possível desenvolver um profissional de segurança dentro da empresa?

Sim, e esta é uma das abordagens mais eficazes, dada a escassez atual. Um administrador de sistemas, engenheiro de redes ou especialista em DevOps com interesse em segurança é um candidato pronto para a requalificação. São necessárias três coisas: tempo pago para formação, um orçamento para certificação e um mentor da equipa de segurança da informação atual.

Pela nossa experiência, um candidato interno atinge produtividade numa função júnior de segurança no prazo de 6 a 12 meses.

Como podem as pequenas e médias empresas competir pelo talento com as grandes corporações?

Não compita diretamente em salário, mas jogue noutros campos. Horário flexível e trabalho totalmente remoto, um padrão para pequenas empresas, que as corporações muitas vezes não podem oferecer devido a requisitos de conformidade. Uma gama alargada de tarefas, em vez de especialização restrita, atrai quem quer um crescimento rápido. Além disso, participação nos lucros ou opções de ações numa startup.

A prática mostra que: um profissional de segurança que constrói sozinho a defesa para uma empresa de 50 pessoas tem, em dois anos, um portefólio comparável ao de um especialista corporativo com o dobro da sua senioridade. Para muitos, isto supera a diferença no salário base. O principal é não poupar nas ferramentas: um orçamento de segurança reduzido desmotiva mais rapidamente do que um salário abaixo do mercado.

A IA vai substituir os profissionais de cibersegurança?

Não os vai substituir, mas vai alterar a estrutura das funções. A IA cobrirá as tarefas rotineiras de Nível 1: triagem de alertas, análise inicial de registos, enriquecimento de incidentes com contexto. A Gartner prevê que, até 2028, mais de metade dessas tarefas será automatizada. A procura por arquitetos de segurança, engenheiros de cloud e especialistas em segurança de IA só vai aumentar.

O risco não é a IA tirar empregos aos profissionais de segurança, mas sim as empresas que cortam na contratação de juniores ficarem sem seniores dentro de 3 a 5 anos. A estratégia correta é redesenhar as funções de entrada para um trabalho aumentado por IA (caça a ameaças com sugestões de IA, investigação automatizada), e não eliminá-las.

O que fazer em relação à escassez de talento em cibersegurança: conclusão

O mercado de trabalho em cibersegurança permanecerá sobreaquecido até ao final da década, este é o consenso da ISC2, ISACA e WEF. As empresas que vencem esta corrida fazem três coisas em simultâneo.

Deixam de procurar «unicórnios» e começam a desenvolver profissionais de segurança internamente. Um administrador de sistemas disposto a aprender é mais valioso do que um candidato com cinco certificações que não está no mercado. Segundo, aceitam o formato flexível como um dado adquirido. E terceiro, integram requisitos de segurança em todas as funções de TI, desde um programador de SharePoint a um arquiteto de cloud.

Se está à procura de um profissional de segurança neste momento, comece por uma auditoria aos requisitos do seu anúncio de emprego. Remova três itens opcionais, adicione um orçamento para certificação e mostre que resolve problemas reais, não que escreve relatórios para a gaveta. A diferença no tempo de preenchimento vai surpreendê-lo.