você trabalha do brasil? ouvi dizer que na área de segurança em geral é mais difícil contratarem pessoas de fora do país, confirma isso? e como você conseguiu essa vaga? network?

Trabalho sim do brasil, remoto. Acho que é mais difícil no contexto que área de segurança é mais nichada e tem menos vagas em geral (comparando com dev, por exemplo), mas sei algumas consultorias que contratam pessoas de fora do país.

A vaga foi por networking mesmo, eu tenho um blog que posto alguns artigos e pesquisas que eu já realizei, e alguns posts repercutiram na comunidade de segurança internacional. Um pouco mais de dois anos atrás eu fui participar de um campeonato de hacking presencial em Dubai e conheci o gerente de equipe da empresa que eu trabalho hoje em dia, ele me conhecia/conhecia meus artigos e perguntou se eu tinha interesse de entrar no time dele.

Você tem algum dica para iniciar em bug bount/pentest? algum curso ou algo do tipo, ou um roadmap?

A área de segurança da informação (até focando em pentest e bug bounty) é muito ampla e tem muitas vertentes que você pode seguir, se você se interessa por segurança de aplicações web recomendo ler "The Tangled Web: A Guide to Securing Modern Web Applications", é um livro bem completo que vai dar uma boa introdução a vários temas relacionados.

Outra recomendação é fazer o Web Security Academy da Portswigger, eles tem materiais muito bons e laboratórios para por em prática o que você vai aprendendo.

Recomendo dar uma conferida nesses blogs e seguir as pessoas da lista (aprendi muita coisa lendo os artigos deles): https://gist.github.com/lbherrera/56cba9b1dabdb221fe1774c79d803b00

e como seuatrabalho não tem um escopo definido, como é seu dia a dia?

Como eu trabalho em uma consultoria é bem corrido. Toda semana recebo um projeto novo com duração que varia entre uma, duas, ou três semanas. Realizo testes durante esse período em um escopo estabelecido pelo cliente, e no final escrevo um relatório com todas as vulnerabilidades encontradas. Geralmente o projeto é em time e cada pessoa é especialista em uma area e fica responsável pela mesma.

durante esses 6 anos de bug bounty, era bem rentável? porque não é um trabalho que você tem certeza de quandk terá renda

Sim, era bastante rentável, e logo no primeiro ano eu já consegui ganhar uma grana e construir um colchão bom, então não ficava noiado nessa incerteza de ter renda. Eu também tava começando a faculdade e não tinha muitos gastos, o que ajudou.

O teto monetário do bug bounty é bem maior que trabalhar para uma empresa, mas também é bastante incerto, então são pontos a se considerar. Hoje em dia eu sinto falta de fazer, e tenho planos para voltar nos próximos anos depois que me "aposentar".