DevSecOps

O que é

DevSecOps = DevOps + Security: segurança deixa de ser etapa final e passa a ser responsabilidade compartilhada desde o desenho até a operação.
Shift left: mover testes e controles de segurança para o início do ciclo (requisitos, código, build e PR).
Objetivo: entregar rápido e com risco controlado — automação de segurança acompanha a automação de CI/CD.
Complementa Segurança da Informação e LGPD: aplica controles técnicos e de processo no fluxo de entrega.

Código: revisão, linters de segurança e análise estática (SAST).
Dependências: scan de bibliotecas vulneráveis (SCA — Snyk, Dependabot, Trivy).
Build/imagem: assinatura de artefatos, scan de containers e política de base images.
Testes dinâmicos (DAST) e testes de penetração em homologação, quando aplicável.
Runtime: WAF, monitoramento de anomalias, gestão de segredos e resposta a incidentes.

Princípio do menor privilégio e RBAC em pipelines, clouds e aplicações.
Secrets management: vault, variáveis criptografadas do CI — nunca commit de senha/token.
Threat modeling leve no levantamento de requisitos (abusos, dados sensíveis, superfícies de ataque).
Gates na pipeline: falha o build se houver CVE crítica ou política violada.
Auditoria e rastreabilidade: quem aprovou, o que foi deployado e quando.

SAST/SCA: SonarQube, Semgrep, Snyk, OWASP Dependency-Check.
Containers e IaC: Trivy, Checkov, tfsec.
Padrões: OWASP Top 10, CIS Benchmarks, NIST CSF, ISO 27001.
Em ambientes industriais/críticos: alinhar DevSecOps a IEC 62443 e segmentação TI/TO quando houver convergência.

Escrever código consciente de vulnerabilidades comuns (injeção, XSS, autenticação fraca).
Incluir critérios de segurança nos requisitos e nos testes automatizados.
Tratar achados de scan como dívida técnica priorizada — não como “barulho” da pipeline.
Dialogar com segurança, ops e negócio: risco residual, aceitação formal e evidências para auditoria.