CI/CD: cada etapa carrega uma fronteira de confiança
Compilar código e autorizar produção são decisões diferentes.
DevSecOps e SSDLC
Segurança no desenvolvimento, pipelines, dependências e gestão de vulnerabilidades.
Leituras neste tema
SBOM: da lista de componentes à decisão de resposta
O inventário precisa apontar para o software que está em execução.
GitHub Actions: quem pode alterar a ferramenta do build?
Dependências do pipeline merecem o mesmo olhar dado ao código.
Infraestrutura como código: a exceção manual precisa voltar ao fluxo
O repositório só representa o ambiente quando as diferenças são tratadas.
Segredos: a rotação de emergência precisa funcionar sob pressão
Armazenamento centralizado não substitui uma retirada ensaiada.
Code review: priorize mudanças que alteram confiança
O tamanho do diff não mede o impacto de segurança.
Supply chain: publique o artefato que foi avaliado
Reconstruir no último passo pode mudar a unidade de confiança.
Vulnerabilidades: priorize a decisão sobre o sistema afetado
Severidade do componente é uma entrada, não todo o contexto.
Thiago Lima Soneti da Silva (Thiago Silva) — Cyber Architect e responsável técnico pela Lima e Silva Tecnologia.