CVE de dependência não espera o pentest de dezembro. A lib que vocês puxaram em abril está no artefato de hoje. O ciclo de entrega — merge, pipeline, sprint — é o lugar do patch. Relatório anual de segurança cibernética descreve o atraso; não substitui o dono da dependência.

Abril é quando o acumulado do trimestre aparece: scanner vermelho, time “depois do release”, calendário de pentest no fim do ano. Segurança cibernética para empresas é o panorama. Este texto é o recorte de software composition: o que o CI já sabe e o quadro ignora.

Dependência no DoD

  • scan no merge (não só no nightly que ninguém lê);
  • pin de versão;
  • prazo por severidade combinado com o dono do serviço — não com “quando der”;
  • exceção escrita (não dá para subir agora) com data de revisão.

AppSec no pipeline é o gancho técnico. AppSec no ciclo de entrega é o hábito. CVE é o item que mais sofre o “pentest resolve”: não resolve. Pentest olha um recorte. A lib está em todo deploy.

Não listamos CVEs inventados nem prazos universais de patch. O honesto é: o time define SLA interno e cumpre no sprint. Sem SLA, o vermelho vira papel de parede do CI.

O que o pentest continua sendo

Pentest é hipótese de atacante em profundidade, em data combinada. É complemento. Quem usa pentest como único AppSec acumula dependência podre o ano inteiro e pede milagre em dezembro. O milagre não vem; vem o relatório e a fila de 200 itens.

Fábrica trata CVE como item de sprint de 15 dias quando o serviço é o que sustentamos. Produto interno deveria fazer o mesmo. “Não é o nosso código” não cola: é o vosso artefato.

Ritual mínimo

  1. dono por repositório (não “segurança”);
  2. fila visível das CVEs que passam do teto combinado;
  3. uma janela de patch no ciclo (não um projeto paralelo eterno);
  4. rollback se o bump quebrar — teste existe para isso.

Prova antes da promessa: o processo existe no pipeline. “Zero CVE” não é afirmação deste texto.

Abril no calendário brasileiro ainda está longe de dezembro — e é exatamente por isso que o pentest não pode ser o plano. A lib que vocês puxaram nesta sprint está no artefato que o usuário já usa. Dono por repositório, fila visível, janela de bump no ciclo. Exceção com data. Sem data, a exceção é o novo processo. Scanner no merge sem alguém que leia o vermelho é só cor no CI.

Como a Tech Coders trata CVE na fábrica

Na fábrica de software, dependência entra no ciclo: pipeline no merge, item no sprint de 15 dias, dono do serviço. Pentest, quando houver, não substitui esse fluxo. Sustentação 24×7 inclui o artefato que está no ar — inclusive a lib.

Perguntas frequentes

Scanner no merge não trava demais o time?

Trava o que deveria travar se o SLA diz que crítico não entra. Ajuste severidade e exceção. Desligar o scanner para “velocidade” é velocidade até o incidente.

Dependência transitiva é responsabilidade nossa?

É do artefato que vocês publicam. Ferramenta ajuda a ver. O dono do serviço decide o bump ou a troca.

Posso esperar o fornecedor da lib?

Pode, e o relógio do CVE continua. Mitigação (WAF, desligar feature) é plano B explícito, não silêncio.

Pentest em abril substitui o ciclo?

Um pentest pontual não substitui o fluxo contínuo. Pode achar o que o scanner não acha. Os dois.