Security Champion
O papel de ponte entre segurança e engenharia numa squad de plataforma, do bloqueio que parou seis repositórios até o inventário que sobreviveu ao papel.
Encerrada quando o programa interno trocou o formato de champion por equipe pelo de revisão sob demanda. Foram quatro trimestres, e o que sobrou de valor não foi nenhuma ferramenta: foi descobrir em que ordem as coisas precisam acontecer para que uma trava seja aceita em vez de contornada.
Como foi
- Primeiro trimestre, A varredura que reprovava tudo: ligar a varredura em modo bloqueante no primeiro dia parou seis repositórios e não produziu um achado acionável.
- Segundo trimestre, O segredo no commit: o vazamento não foi o problema; o problema foi descobrir que rotacionar era manual.
- Terceiro trimestre, A exceção que virou regra: toda trava precisa de uma saída, e a saída precisa de prazo.
- Quarto trimestre, O inventário de imagens: a pergunta "onde essa imagem roda?" não tinha dono, e passou a ter.
O que não funcionou
Ligar a varredura em modo bloqueante no primeiro dia. Seis repositórios pararam, e nenhum achado era acionável. Voltou para relatório por três meses antes de bloquear de novo, e o segundo bloqueio passou sem uma reclamação.
Medir o programa por número de achados. O número sobe quando a ferramenta fica mais barulhenta, não quando o sistema fica mais seguro. Trocado por tempo até a correção, que é o que dói de verdade.
Tratar exceção como falha de disciplina. Sem uma saída declarada, quem precisa entregar contorna a trava por fora, e aí ninguém sabe quantas exceções existem. Exceção com prazo e dono é registro; exceção proibida é ponto cego.