Sou muito velho para começar uma carreira em Cibersegurança?

Alguém faz essa pergunta em todo fórum de cibersegurança, toda semana, sem falta. Geralmente têm 27, ou 35, ou 45 anos, e têm certeza de que todos os outros tiveram uma vantagem de cinco anos. Não tiveram. Aqui está a matemática real sobre timing, mais um caminho de verdade.

Por que o campo não funciona como uma corrida

Cibersegurança não é um número fixo de vagas que se preenche e fecha. Novas superfícies de ataque são criadas constantemente: misconfigurações em cloud, endpoints de modelos de IA, firmware de IoT, dependências de cadeia de suprimentos. Cada uma precisa de pessoas para defendê-la. O campo expande mais ou menos junto com quanto do mundo é executado em software, e esse número continua subindo, não diminuindo. Um analista de SOC contratado em 2015 lidou com um conjunto de ameaças completamente diferente de um contratado em 2024 — ransomware-as-a-service, ataques de fadiga de MFA e técnicas living-off-the-land mal existiam ou tinham aparência diferente uma década atrás. Então a pessoa que "começou cedo" não está sentada em alguma vantagem acumulada que te torna incontratável. Metade do seu conhecimento inicial já está desatualizado.

A lacuna de habilidades é real, não é apenas marketing

Os estudos de força de trabalho da ISC2 mostraram uma escassez persistente de profissionais de segurança qualificados por anos seguidos, e gerentes de contratação com quem conversei confirmam pelo outro lado da mesa: eles recebem muitos currículos mas poucos candidatos que conseguem demonstrar habilidade prática. Essa lacuna não está fechando porque não existe um pipeline mágico de jovens de 22 anos que estudaram nada além de segurança desde o nascimento. Está fechando (lentamente) através de mudanças de carreira — ex-sysadmins, desenvolvedores, técnicos de help desk, até professores e veteranos militares — que investem esforço focado por 6-12 meses e se tornam competentes.

O que realmente importa no ponto de entrada

Gerentes de contratação para papéis de analista de SOC, segurança de TI ou pentest júnior não estão perguntando há quanto tempo você está "em cyber". Eles verificam coisas específicas e verificáveis:

• Você consegue ler um packet capture no Wireshark e explicar o que está acontecendo
• Você entende como TCP/IP, DNS e HTTP realmente funcionam, não apenas o que os acrônimos significam
• Você construiu ou quebrou algo — um home lab, um writeup de CTF, uma VM vulnerável que você explorou
• Consegue escrever um relatório de incidente claro ou explicar uma vulnerabilidade para uma pessoa não técnica
• Você se vira na linha de comando Linux sem precisar de um cheat sheet para coisas básicas

Nada disso exige anos. Exige prática deliberada. Alguém que passa quatro meses focados construindo um home lab com pfSense, Security Onion e um casal de máquinas intencionalmente vulneráveis (TryHackMe, HackTheBox, VulnHub) frequentemente entrevista melhor do que alguém que está em um trabalho de help desk por três anos fazendo nada adjacente a segurança.

Um plano realista de seis meses se você está começando do zero

Mês 1-2: fundamentos de networking e Linux básico. Fique confortável com subnetting, o modelo OSI e bash básico. O material Network+ do Professor Messer e o wargame Bandit do OverTheWire são ambos gratuitos e sólidos como pontos de partida.

Mês 2-4: escolha um lado — blue team ou ofensivo — e vá fundo em uma plataforma. O caminho SOC Level 1 do TryHackMe ou o caminho Pre Security funcionam bem para blue team; a Web Security Academy do PortSwigger é gratuita e excelente se você está inclinado a ofensivo/web.

Mês 4-6: obtenha uma certificação que corresponda ao seu lado (Security+ para uma base ampla, ou eJPT se você quer algo mais prático) e construa dois ou três projetos documentados — uma configuração de SIEM doméstica, um blog com writeup de CTF, um pequeno relatório de pentest em um ambiente de lab. Coloque no GitHub ou em um site simples. Recrutadores passam por currículos em trinta segundos; um link para trabalho real muda essa conversa.

A única coisa que realmente te desqualifica

Idade não te desqualifica. Um diploma fora de CS não te desqualifica. O que desqualifica é inconsistência — começar um curso, parar após duas semanas, reiniciar seis meses depois com um curso diferente. As pessoas que conseguem entrar não são as com o talento natural mais natural, são as que continuaram aparecendo por alguns meses seguidos. Esse é genuinamente o segredo inteiro, tão pouco glamouroso quanto soa.

Se você quer o próximo passo mapeado, as tracks Breaking In e Certifications do Korra Studio aprofundam mais quais papéis de nível iniciante almejar primeiro e como sequenciar seu primeiro cert.