Ajudamos times de desenvolvimento a incluir segurança em cada etapa: do requisito ao código e ao pipeline de entrega, passando por segredos, dependências e reteste.
Quando a segurança só aparece no fim, o teste encontra o problema com o sistema já pronto, e corrigir significa refazer. DevSecOps é a prática de levar a segurança para dentro do ciclo de desenvolvimento, para que o erro seja pego perto de onde nasceu. Na LDL, o trabalho começa entendendo como o seu time desenvolve e entrega, e depois define onde a segurança deve entrar: nos requisitos de cada funcionalidade, na revisão do código, nas verificações automáticas do pipeline, na guarda de senhas e chaves, no controle das bibliotecas de terceiros e na confirmação de que as correções funcionaram. Como referência, usamos o Secure Software Development Framework do NIST (SP 800-218, versão 1.1), um conjunto de práticas de desenvolvimento seguro que pode ser incorporado a qualquer modelo de ciclo de desenvolvimento e serve também de vocabulário comum entre quem compra e quem fornece software. Não impomos um processo pronto: adaptamos ao tamanho do time, ao ritmo de entrega e ao risco do produto, e deixamos o time capaz de seguir sozinho.
O que você recebe
- Diagnóstico de como a segurança aparece hoje no ciclo de desenvolvimento do time
- Desenho de onde cada controle de segurança deve entrar, da ideia à produção
- Requisitos de segurança para os tipos de funcionalidade mais comuns do seu produto
- Plano de adoção em etapas, compatível com o ritmo de entrega
- Orientação ao time sobre revisão de código, segredos e dependências
- Reteste das correções e avaliação do que mudou no ciclo
O que cobrimos
Requisitos e desenho
Definimos o que cada funcionalidade precisa garantir em termos de segurança antes de ser construída, quando mudar é mais barato.
Revisão de código e pipeline
Combinamos revisão feita por pessoas, nos pontos críticos, com verificações automáticas na esteira de entrega, que dão resposta rápida ao time.
Segredos e dependências
Avaliamos como senhas, chaves de acesso e bibliotecas de terceiros são guardadas e atualizadas, dois pontos em que erros pequenos viram incidentes.
Teste e reteste
Ligamos o ciclo a testes de segurança nos momentos certos e ao reteste das correções, para fechar o ciclo.
Indicado para
- Empresas de software e fintechs que entregam versões novas com frequência
- Times que já têm um pipeline de entrega e querem incluir segurança sem travar a velocidade
- Organizações que precisam mostrar a clientes um processo de desenvolvimento seguro
- Empresas que encontraram falhas em um pentest e querem evitar que reapareçam
Como conduzimos
Entendimento do ciclo atual
Conversamos com desenvolvimento, produto e operação para ver como o software é planejado, construído e entregue.
Diagnóstico
Identificamos onde a segurança já existe, onde falta e onde atrapalha sem proteger, tomando o NIST SSDF como referência.
Desenho do ciclo seguro
Propomos os controles em cada etapa, com responsáveis claros e sem criar uma burocracia que o time vá contornar.
Adoção em etapas
Começamos pelo que reduz mais risco com menos esforço e ampliamos conforme o time ganha ritmo.
Reteste e revisão
Confirmamos que as correções funcionam e revisamos o ciclo com o time depois de alguns ciclos de entrega.
Perguntas Frequentes
O que é DevSecOps?
É a prática de incluir a segurança em todas as etapas do desenvolvimento e da entrega de software, em vez de deixá-la para o final. O objetivo é encontrar e corrigir problemas perto de onde eles nascem, com menos retrabalho e sem desacelerar as entregas.
Qual a diferença entre DevSecOps e pentest web?
O pentest web avalia o sistema pronto, como um atacante o veria. O DevSecOps atua antes, durante a construção, para que menos falhas cheguem até o teste. Os dois se complementam: o processo reduz o que é criado de errado e o pentest confirma o que ainda escapou.
DevSecOps inclui revisão de código?
Sim, e a revisão também pode ser contratada de forma separada. Na LDL ela existe como serviço próprio, o code review de segurança, e no DevSecOps entra como uma das etapas do ciclo, aplicada aos pontos mais críticos do sistema.
O que é o NIST SSDF?
É o Secure Software Development Framework, publicado pelo NIST dos Estados Unidos como SP 800-218. Reúne um conjunto de práticas de desenvolvimento seguro que podem ser incorporadas a qualquer modelo de ciclo de desenvolvimento. Também ajuda quem compra software a conversar com os fornecedores com um vocabulário comum. Usamos como referência, e não como exigência legal para empresas brasileiras.
Isso vai atrasar a entrega do meu time?
O desenho parte do ritmo atual do time. Controles automáticos dão resposta rápida, e as etapas que exigem análise humana ficam nos pontos críticos. A ideia é substituir o retrabalho tardio, que é o que mais atrasa, por correções pequenas e cedo.