Questão de Engenharia de Software — Desenvolvimento de Software — CESPE / CEBRASPE 2024

DevOps – Segurança em CI/CD

Gabarito: letra A. A prática essencial para uma pipeline de CI/CD segura é integrar verificações de segurança automatizadas em cada estágio, adotando a abordagem Shift Left, que antecipa a segurança para as fases iniciais do desenvolvimento, reduzindo riscos e melhorando a eficiência (conforme conteúdo de apoio: "A abordagem Shift Left antecipa os testes para as fases iniciais do desenvolvimento").

Alternativa A — ✅ Correta ⟵ GABARITO

Integrar verificações de segurança automatizadas em cada estágio da pipeline é uma prática fundamental do DevSecOps. A automação garante que vulnerabilidades sejam detectadas continuamente, desde a codificação até a implantação, sem depender de ações manuais tardias. Isso reflete o princípio de segurança como parte integrante do processo, não como uma etapa final.

Alternativa B — ❌ Incorreta

Confiar exclusivamente em revisões manuais de código é ineficiente e propenso a falhas. A abordagem DevOps preconiza a automação máxima de tarefas repetitivas, incluindo verificações de segurança. Revisões manuais podem complementar, mas nunca substituir a automação contínua em uma pipeline CI/CD.

Alternativa C — ❌ Incorreta

Realizar testes de segurança apenas após a implantação em produção é o oposto do Shift Left. Segurança deve ser aplicada desde o início do desenvolvimento ("mover a segurança da direita para a esquerda"). Postergar testes aumenta o custo e o risco de correções tardias.

Alternativa D — ❌ Incorreta

Utilizar apenas ferramentas de código aberto sem verificações adicionais ignora que ferramentas de código aberto também podem conter vulnerabilidades. É necessário integrar verificações de segurança automatizadas independentemente da origem da ferramenta, garantindo que não haja pontos cegos na pipeline.

Gabarito: letra A.