O podcast veio primeiro

O ISTS - "i sh0t the sheriff" começou em 2006 como podcast brasileiro de segurança da informação com três apresentadores: Luiz Eduardo dos Santos, Nelson Murilo Rufino e .

O relato do próprio Caprino sobre como aquilo começou é incomumente direto quanto à mecânica. Os três trabalhavam com segurança da informação, moravam em cidades diferentes - o Luiz Eduardo, em outro país - e tinham uma afinidade pelo tema que às vezes convergia e às vezes divergia. A ideia foi do Luiz Eduardo, que passou meses insistindo para que gravassem um piloto.

Esse detalhe explica tudo o que veio depois. O evento não foi concebido como evento. Ele nasceu de uma conversa recorrente entre três pessoas que já tinham audiência, e a conferência guardou o registro daquilo de onde veio: sem pressa, com opinião, e mais perto de uma conversa entre pares do que de uma palestra.

O podcast não parou quando a conferência começou. Ele segue gravando, com roteiro creditado aos mesmos três nomes e produção da Halfmouth Podcasts; episódios acima do número 140 estavam sendo publicados em meados dos anos 2020. Quase vinte anos de produção contínua fazem dele um dos podcasts de segurança mais longevos em português.

Os três fundadores

Luiz Eduardo dos Santos - o que insistiu no piloto, e o fundador de trajetória mais internacional. Passou a carreira entre países, o que é parte da razão de a conferência nunca ter soado como evento puramente local.

Nelson Murilo Rufino - autor do chkrootkit, o detector de rootkits que faz parte do ferramental de segurança Unix desde o fim dos anos 1990 e que continua sendo lançado: a versão 0.57 saiu em janeiro de 2023. É coisa incomum de se poder dizer sobre uma ferramenta de segurança, e faz dele um dos pouquíssimos fundadores de conferência no mundo cujo próprio código segue instalado em servidores de outras pessoas décadas depois. Ele já deu o próprio relato sobre a ferramenta e sobre a fundação da conferência em entrevistas.

Willian Caprino - o fundador que escreveu de forma mais aberta sobre como o evento foi de fato construído, num texto cujo título é, literalmente, "ou, como fizemos o evento de segurança mais badalado do Brasil". A organização opera como STS Produções e Eventos.

O que é o evento, e a regra que o define

A primeira edição foi em 2007. Em 2026 o evento chegou à décima oitava.

Três decisões o definem, e as três são recusas deliberadas de crescer:

É só por convite. A participação depende de convite de um patrocinador. Não há inscrição aberta, o que significa que a lista de presentes é curada, e não vendida.

O local é secreto. O lugar é escolhido com cuidado e mantido em sigilo, revelado apenas a quem confirmou presença.

O tamanho é limitado por princípio. Na décima edição os três fundadores abriram falando da distância entre a primeira e a décima, e descrevendo o trabalho de manter o evento do mesmo tamanho - pela crença declarada de que mais participantes custariam a qualidade que eles têm. Conferências quase nunca dizem isso em voz alta, porque o incentivo aponta para o outro lado: patrocinador paga por alcance, e alcance é número de pessoas.

O resultado é um dia único que se comporta como um ótimo corredor de conversas com palestras anexadas. O objetivo declarado é aproximar público técnico e gerencial numa sala só, o que na maioria das conferências é slogan e ali é um problema de disposição de cadeiras que eles de fato resolvem.

A primeira edição, pelo relato de um dos fundadores

O texto de Caprino sobre como o evento foi montado nomeia as pessoas escolhidas a dedo na própria rede de relacionamento para aquele primeiro ano, e a lista diz o que eles buscavam:

Felix "FX" Lindner - o hacker alemão, que falou sobre malware em dispositivos móveis na época do primeiro iPhone, do Symbian, do Windows Mobile e do BlackBerry. Ninguém falava em Android ainda.

Rodrigo "BSDaemon" Rubira Branco - sobre se o mundo acaba quando há uma falha no kernel de um sistema operacional. Ele se tornou desde então um dos keynotes mais requisitados do país, a ponto de a piada da comunidade ser que convidá-lo garante ao menos uma palestra de qualidade de verdade.

Augusto Paes de Barros - sobre detecção de ameaças internas, tema que ele mesmo apresentou como o "not so cool".

Nick Farr - sobre hackerspaces, assunto então inédito no Brasil. Alberto Fabiano, cofundador do , já falecido, comentou com Caprino que aquela foi a primeira vez que ouviu falar do tema. O Garoa é hoje o hackerspace mais conhecido do país, e a corrente volta até aquela sala.

A regra editorial por trás dessas escolhas é dita com a mesma clareza: conteúdo em primeiro lugar, sem blá-blá-blá de venda de produto, e palestrantes que fossem nomes que os próprios fundadores respeitavam. O local deveria ser um bar, um pub, com cerveja e caipirinha à vontade, sob o argumento de que aprender e se divertir não são coisas excludentes. E precisava misturar palestras técnicas com gerenciais, porque naquela época o abismo entre os dois públicos era grande e ninguém o atravessava.

Os nomes brasileiros pelos quais a sala é conhecida

Nelson Brito - o criador do T50, a ferramenta de injeção de pacotes e teste de estresse, e pesquisador conhecido por trabalhos publicados sob nomes como Permutation Oriented Programming e Fingerprint. Seu histórico de palestras passa por IME, CNASI, CONIP, SERPRO, ITA, , e , e ele foi o único brasileiro a apresentar na PH-Neutral, em Berlim, em 2011.

Quem já esteve naquele palco

A programação misturou quem construiu a cena internacional com quem construiu a brasileira - que é a evidência mais clara do alcance real dos fundadores.

Jeff Moss - fundador e criador da e das Briefings, ex-diretor de segurança da , membro do Cyber Security Advisory Council da CISA, e consultor técnico da série Mr. Robot. As duas conferências que ele criou são a referência contra a qual todo outro evento de segurança do mundo é descrito.

Cris Thomas, o "Space Rogue" - integrante do , o primeiro laboratório de ideias em pesquisa de segurança, e criador do Hacker News Network. É um dos membros do L0pht que depuseram perante o Comitê de Segurança Interna e Assuntos Governamentais do Senado dos Estados Unidos, e depois disso passou por @stake, Guardent, Trustwave, Tenable e IBM X-Force.

Deviant Ollam, do TOOOL - a Open Organisation of Lockpickers -, abriu a quinta edição, em maio de 2011, com uma palestra sobre os conceitos básicos de lockpicking, e vendeu kits para a plateia depois. Aquela edição bateu recorde de público, e a palestra de lockpicking foi a mais comentada.

Fábio Assolini apresentou nessa mesma quinta edição sobre como os criminosos brasileiros usam dados pessoais roubados - dois dias depois de outra palestra no GTS, que é o que uma semana cheia do calendário brasileiro parece.

Ao lado deles, quem carrega a cena brasileira:

  • - fundador do São Paulo, figura do Garoa Hacker Clube, diretor do capítulo Brasil da , e autor do calendário de eventos com que boa parte da comunidade brasileira planeja o ano.
  • Nelson Novaes Neto - um dos sócios na criação do C6 Bank, pesquisador afiliado ao MIT, publicado na Harvard Business Review sobre liderança em segurança.
  • Rodrigo "Sp0oKeR" Montoro - engenheiro de detecção de ameaças com duas tecnologias de detecção patenteadas, presença constante em AppSec, SANS, Toorcon, SecTor e Black Hat Brasil.
  • Thiago Bordini - líder de inteligência de ameaças cibernéticas, e parte da organização do Security BSides São Paulo.
  • Fábio Assolini e Fábio Marenghi - analistas de malware da Kaspersky trabalhando no cenário latino-americano de ameaças, a região de onde a fraude bancária brasileira é pesquisada por dentro.
  • Gustavo Palazolo, Julio Della Flora, Letícia Freitas, Flávio Bontempo e outros, em detecção, hardware, identidade e conscientização.

O evento também roda formatos que só funcionam no tamanho dele, incluindo um debate um a um entre executivos de segurança sobre um tema sorteado na hora.

Um detalhe estrutural vale conhecer, porque organiza o maio brasileiro inteiro: o YSTS é agendado logo depois do BSides São Paulo, em dias consecutivos. O evento gratuito, aberto e comunitário acontece no domingo, e o só-por-convite na segunda, e as mesmas pessoas circulam entre os dois. A cena trata o par como um fim de semana único, e não como concorrentes.

Os formatos que o tamanho torna possíveis

A InfoSec Arena foi criada para o evento e conduzida por Anchises Moraes desde a segunda vez: o público manda perguntas pelo Twitter e em formulários de papel, os temas são sorteados, e quem está na sala responde. Em 2011 os temas que mais renderam polêmica foram certificação e ética profissional, e os que valem lembrar trataram de sistemas embarcados, de métricas que justifiquem investimento em segurança, e de como havia poucas mulheres na área. Um debate cuja pauta sai de um sorteio só funciona se dá para confiar na sala.

O equivalente moderno é o anti-painel CISO contra CISO, em que dois executivos de segurança tomam lados opostos de um tema decidido na hora.

O que a chamada de trabalhos de fato oferece

A chamada de trabalhos do evento é incomumente explícita, e explica a lealdade em volta dele:

  • Ajuda de viagem de USD 1.000 para palestrantes internacionais, ou R$ 1.200 para palestrantes brasileiros de fora de São Paulo.
  • Refeições durante todo o evento, e a festa oficial antes e depois - além, nas palavras da própria chamada, das não oficiais.
  • Entrada gratuita vitalícia em todas as edições futuras para quem já palestrou. Num evento em que, de outro modo, não se entra nem pagando, esse é o item mais valioso da lista.
  • Palestras em formatos de 30 e de 15 minutos, com estreantes explicitamente bem-vindos e preferência por pesquisa nova - a chamada registra que já houve quem soltasse trabalho no YSTS antes de levá-lo às conferências maiores no fim do ano.

As pessoas que fazem acontecer

Os fundadores nomeiam publicamente a equipe, o que nem toda conferência faz: André Trindade, Carlos Cabral, Cleber "Clebeer" Brandão, Evelise Morais e Rodrigo Montoro já foram agradecidos pelo YSTS por anos de trabalho nos bastidores. Uma conferência cuja proposta inteira é uma sala curada e um local secreto depende inteiramente de quem administra as duas coisas.

Por que isso importa além da lista de convidados

A comunidade brasileira de segurança tem um calendário cheio - H2HC, BSides São Paulo, , Nullbyte e um longo circuito regional. O YSTS ocupa uma posição que nenhum dos outros ocupa, e a razão é estrutural, e não editorial: é o que deliberadamente não escalou.

Essa escolha tem um custo, e vale dizê-lo. Um evento só por convite e com local oculto é, por construção, mais difícil de acessar para quem não tem relação com patrocinador - o oposto do modelo BSides, que existe justamente para baixar essa barreira. Os dois formatos não competem tanto quanto se equilibram, e uma cena saudável precisa dos dois: um em que qualquer pessoa entra, e outro em que quem decide as coisas passa um dia conversando entre si.

O que torna o arranjo durável é que os fundadores nunca pararam de fazer aquilo que o produziu. O podcast continua gravando. É isso, quase vinte anos disso, que dá lastro a um convite.

Fontes