Questão de Segurança da Informação — DevSecOps — CESPE / CEBRASPE 2023

DevSecOps: segurança integrada versus segurança perimetral

✅ CERTO. O item está correto: o DevSecOps trata de segurança integrada ao longo de todo o ciclo de vida do desenvolvimento, e não da segurança que funciona apenas no perímetro em torno de aplicativos e dados. Essa abordagem também inclui a identificação dos riscos envolvidos na cadeia de fornecimento do software, como bibliotecas externas e ferramentas de CI/CD. O conceito central é a responsabilidade compartilhada pela segurança em todas as fases, em contraste com a visão tradicional de segurança perimetral.

O DevSecOps é uma abreviação para desenvolvimento, segurança e operações (Development, Security e Operations). Trata-se de uma abordagem à cultura, automação e design da plataforma que integra segurança como uma responsabilidade compartilhada em todo o ciclo de vida da TI. Em vez de uma equipe específica de segurança atuando apenas no final do processo, o DevSecOps incorpora a segurança desde o planejamento até a implantação e o monitoramento contínuo. Isso é conhecido como "shift left": mover a segurança da direita (final) para a esquerda (início) do processo de DevOps.

A segurança perimetral, por sua vez, protege apenas acessos e tráfego de rede, como firewalls e controles de acesso. Embora importantes, essas medidas não são suficientes para garantir a segurança de uma aplicação, pois vulnerabilidades podem surgir de bibliotecas externas, ferramentas CI/CD e repositórios de código. O DevSecOps mitiga esses riscos por meio de varredura de dependências, verificações de integridade e controles de acesso rigorosos, protegendo o software de ataques em todas as fases do seu ciclo de vida.

A cadeia de fornecimento de software representa um risco crescente, pois componentes de terceiros podem conter vulnerabilidades que comprometem a segurança do produto final. A identificação desses riscos é parte essencial do DevSecOps, que busca integrar a segurança de forma proativa e contínua, em vez de depender exclusivamente de defesas periféricas.

A pegadinha da banca está em contrapor "segurança integrada" a "segurança perimetral" de forma absoluta. O candidato pode pensar que, por mencionar a segurança perimetral, o item estaria errado. No entanto, o item afirma corretamente que o DevSecOps trata da segurança integrada, e não da segurança que funciona apenas no perímetro — ou seja, ele não nega a existência da segurança perimetral, mas a coloca como insuficiente. Além disso, a inclusão da identificação de riscos na cadeia de fornecimento reforça a correção, pois é uma prática inerente ao DevSecOps.

Gabarito: letra C (Certo).