Cibersegurança: diploma universitário ou certificação, o que dizem os dados publicados?

Interprete com cautela o déficit de profissionais apontado pela ISC2

Segundo o estudo de 2024 da ISC2, publicado em 11 de setembro de 2024, o déficit de profissionais de cibersegurança aumentou 19% em um ano, atingindo 4,8 milhões de postos. A organização apresenta esse déficit como a diferença entre o quadro de pessoal existente e o considerado necessário.

A ISC2 é uma associação de profissionais que concede certificações. Portanto, tem interesse em documentar a escassez. Isso não torna o estudo falso, mas recomenda interpretar o número como uma estimativa baseada em uma pesquisa, e não como uma quantidade de vagas de emprego. O método de cálculo do déficit pode ser consultado no relatório completo.

O estudo também indica que 90% das organizações relatam lacunas de competências em suas equipes de segurança e que 64% consideram a falta de competências mais grave do que a falta de pessoal.

Identifique o que o estudo diz sobre as contratações

O estudo de 2024 fornece dados sobre a estrutura das equipes. Segundo ele, 31% dos participantes dizem que sua equipe de segurança não tem nenhum funcionário em nível de entrada, e 15% não têm nenhum funcionário de nível júnior (um a três anos de experiência). O estudo indica que 62% dos gestores entrevistados tinham vagas a preencher. Ele destaca que as contratações privilegiam profissionais de níveis intermediário e avançado.

Esses números são importantes para quem acaba de se formar. Eles sugerem que a escassez é sobretudo de pessoas experientes. O mercado de vagas de entrada pode continuar difícil, mesmo quando o déficit geral é grande.

O estudo também informa que quase um quarto dos participantes da América do Norte e da Europa passou por demissões na área de cibersegurança nos últimos doze meses, assim como 29% dos participantes do Oriente Médio e da África. Ele atribui essas demissões às restrições econômicas.

Analise as projeções dos Estados Unidos

O BLS projeta um crescimento de 21% no emprego de analistas de segurança da informação entre 2025 e 2035, classificado como muito mais rápido do que a média de todas as profissões. O salário mediano desses profissionais era de US$ 129.180 em maio de 2025.

Para o ingresso na profissão, o BLS indica, tipicamente, um bacharelado em computação ou em uma área próxima, como engenharia ou matemática. Ele esclarece que alguns trabalhadores ingressam com diploma de ensino médio, treinamento e certificações. Observa também que muitos empregadores preferem candidatos com uma certificação em segurança da informação, sem mencionar uma certificação específica.

Esses números descrevem o mercado dos Estados Unidos para uma categoria profissional específica. Eles não substituem as estatísticas do país de interesse.

Compare diploma e certificação em uma tabela

A tabela abaixo apresenta os papéis geralmente atribuídos ao diploma e à certificação. Trata-se de um quadro de análise baseado nas fontes citadas, não de uma classificação.

Esta tabela simplifica a questão. Um diploma em computação não proporciona automaticamente competências em segurança, e uma certificação não oferece a profundidade teórica de um diploma. Os dois se complementam, em vez de se oporem. O próprio BLS menciona ambos: o bacharelado como formação típica de ingresso e as certificações como preferência de muitos empregadores, inclusive para vagas de iniciantes.

Verifique os requisitos das certificações

As certificações não são equivalentes. Algumas são voltadas a iniciantes; outras pressupõem anos de experiência. A ISC2 oferece, por exemplo, a certificação Certified in Cybersecurity (CC), apresentada em sua página como uma certificação de nível de entrada que não exige nenhuma experiência de trabalho. No outro extremo, a página da certificação CISSP menciona uma exigência de cinco anos de experiência, com áreas elegíveis e exceções para estágios; os detalhes dessas regras devem ser consultados diretamente no site da organização, pois mudam ao longo do tempo.

O ponto importante é que uma certificação avançada não substitui a experiência. Um iniciante não pode obtê-la integralmente e deve buscar primeiro certificações de entrada e, depois, cargos que permitam acumular a experiência exigida.

O estudo da ISC2 observa que os gestores frequentemente esperam combinações de experiência e certificações difíceis de reunir. É vantajoso para os candidatos consultar anúncios reais de emprego para identificar as certificações solicitadas em sua região.

Avalie o efeito da inteligência artificial

O estudo de 2024 relata que mais de um terço dos participantes aponta a inteligência artificial como a maior lacuna de competência de sua equipe. Outra pergunta trata das competências consideradas importantes: a IA é citada por 12% dos gestores responsáveis pelo recrutamento, contra 23% dos profissionais. Portanto, esses percentuais não medem a mesma coisa que a lacuna de competência.

Essa diferença sugere que as equipes e seus gestores não têm a mesma percepção da necessidade. Ela recomenda cautela: uma competência em alta não é necessariamente solicitada nos anúncios de emprego.

Para um estudante, as bases sólidas continuam sendo redes, sistemas operacionais, programação, criptografia e gestão de riscos. Esses conhecimentos são transferíveis de uma tecnologia para outra.

Outro aspecto a interpretar com cautela: o estudo da ISC2 é uma pesquisa com profissionais e gestores, portanto reflete percepções, e não uma medição objetiva das necessidades. As percepções refletem a posição de cada participante na organização e podem mudar rapidamente quando surge uma nova ferramenta. Para escolher disciplinas, as descrições atuais de vagas continuam sendo um guia melhor do que qualquer estudo de tendências.

Construa experiência concreta

Como a demanda se concentra na experiência, os estágios, os projetos e as competições desempenham um papel importante. As competições do tipo “capture a bandeira”, os laboratórios pessoais, as contribuições para projetos abertos e os estágios em equipes de segurança fornecem evidências a apresentar a um empregador.

Os programas universitários que integram estágios ou projetos em equipe com organizações reais reduzem a distância entre o diploma e o primeiro emprego. É útil perguntar à coordenação de um programa onde seus egressos trabalharam nos últimos dois anos.

Para pessoas em transição de carreira, uma formação de curta duração pode complementar um diploma já obtido em computação, redes ou administração de sistemas. Nesse caso, ela funciona como uma especialização, não como um ponto de partida.

Veja algumas formas concretas de documentar uma competência:

• um laboratório pessoal descrito por escrito, com as ferramentas utilizadas e os resultados;
• a participação em competições de segurança, com a classificação obtida;
• um estágio ou emprego de verão em uma equipe de informática, mesmo sem um cargo com título ligado à segurança;
• uma contribuição documentada para um projeto aberto.

E no Canadá?

As profissões de cibersegurança não são regulamentadas no Canadá como as de engenharia ou saúde. O título de engenheiro, por sua vez, é protegido: um diplomado que deseje utilizá-lo deve passar pelo órgão profissional provincial. Já os empregadores exigem sobretudo diplomas em computação, certificações e experiência. As estatísticas de emprego por profissão são publicadas separadamente pelos órgãos federais; elas não devem ser confundidas com os números dos Estados Unidos apresentados neste artigo. As certificações da ISC2 são internacionais: podem ser obtidas no Canadá como em outros países, sem depender do sistema universitário, o que permite combiná-las com um diploma canadense.

A StudyCanada apresenta, entre outros, o programa de computação da University of Waterloo e o da University of Ottawa / Université d’Ottawa, assim como os programas de cibersegurança da McGill University e da Université de Montréal (gestão e segurança dos sistemas de informação). A University of Waterloo consta nessa seleção por seu programa de computação geral, não por um programa dedicado à cibersegurança.