Definição
O que é DevSecOps de verdade
DevSecOps é a cultura, práticas e automação que integram segurança em todas as etapas do ciclo de vida da aplicação — da ideação à operação em produção — com responsabilidade compartilhada entre desenvolvimento, segurança e operações.
Não é "SAST dentro do GitHub Actions". Isso é tática. DevSecOps é o modelo operacional que torna a tática sustentável.
Modelo operacional
Shift-left E shift-right
Shift-Left
Puxar segurança para o momento mais cedo possível: IDE, pré-commit, pull request. Custo de correção cresce 10× por fase, quanto antes, mais barato.
- Threat Modeling na story
- SAST + secret scanning pre-commit
- SCA on every new dependency
- IaC Security (Checkov, tfsec)
- Testes de segurança no suite unit/integration
Shift-Right
Segurança não termina no deploy. Produção se comporta diferente: tráfego real, misconfig, drift, risco de terceiros. Precisa de observabilidade runtime.
- Runtime Application Self-Protection (RASP)
- CSPM + CWPP + CNAPP
- DAST externo contínuo
- Attack Surface Management (ASM)
- Security chaos engineering
Medição
7 KPIs que o board entende
- 1. MTTR por severidade — tempo para corrigir Critical / High / Medium / Low. Meta: Crítico < 7 dias.
- 2. Escape rate — % de vulnerabilidades encontradas em produção que deveriam ter sido pegas antes. Meta: < 10%.
- 3. Pipeline coverage — % de repositórios com SAST + SCA + secret scanning. Meta: > 90%.
- 4. Vulnerability age — idade média dos achados críticos abertos. Meta: < 30 dias.
- 5. Deploy frequency — métrica DORA: frequência de deploy seguro. DevSecOps não pode travar entregas.
- 6. Change failure rate — deploys que causam incidentes. DORA + segurança.
- 7. Dependency freshness — % de dependências dentro de 6 meses da mais recente. Meta: > 80%.
