Inovação desse começa aqui leve escreve o
seu podcast de segurança em tecnologia.
Eu Fala pessoal tudo bem com vocês sejam muito bemvindos
a mais um episódio deve ser carlos Podcast eu sou
Caso Pereira, e é um episódio fantástico, porque eu estou
sozinho, né, não tem aquele bando aquela manada aquela plateia,
aquele enxame de trouxas pra atrapalhar aqui então vamos falar
de segurança na real hoje né no mundo na carreira
solo né, essa que é a grande verdade.
Episódio de hoje eu quero te falar um pouquinho
sobre como chegar um nível alto de segurança né,
como elevar o seu nível de segurança de fato,
nos pequenos detalhes que você vai entender, já já,
Aliás, antes de começar o episódio, vale destacar que
os meninos no toque hoje porque não estão né?
A gente já comentamos aqui que a agenda
é sempre complicada de todo mundo, dos convidados
dos meninos e tal então é sempre complicado,
O importante aqui, estamos aqui ter episódio.
Matos para.
Deve ser que teste tem uma apoio técnica e da
nova oito que são especializados em segurança sistema e código.
Seguro, né, o livro da nova oito da no
Brasil está a abaixo da expressão do episódio.
A contabilidade olímpica que é especializada em
profissionais tem, se você precisa investir empresa
ou migrar de contabilidade em inter contato
compressor pessoal da contabilidade olímpica que eles
estão prontos pra te atendia dia.
E a gol security que é especializada em Application.
Quer desenvolver só torcedor, fale com a gold, se.
Importantíssimo falar com essas empresas porque elas vão te
ajudar a sair de onde você está hoje, chegar
num nível melhor, né, num serviço ou um outro
ali que eles possam te ajudado. Beleza.
Bom pessoal negócio é o seguinte deixa eu ver
se os áudios estão aqui que estão o quê.
E o negócio é o seguinte pessoal, eu queria falar um
pouquinho com vocês hoje em sobre essa questão mesmo de como
é que a gente leva a segurança por um outro nível,
é muito fácil a gente sempre falar de de abrir mais
anotações aqui para facilitar é mas é muito fácil a de
falar, sobre sobre carreira né, sobre ferramentas né, então a gente
assim ali uma ferramenta ou outra né uma coisa ou outro
que pode auxiliar, pra facilitar o nosso dia a dia com
relação a segurança e tudo mais eu acho que as ferramentas
super importantes, temos que têlos, do ponto de vista corporativa elas
vão ajudar a gente calar vão ajudar a gente fazer as
coisas mais rápido, vão ajudar a gente a fazer várias coisas
ao mesmo tempo, vamos nos dar um trabalho né, porque seja
ferramenta entre ou pessoas a gente tem um certo investimento né,
do lado a própria da ferramenta em si, em lá a
em o próprio mão de obra né, pra cuidar dos ferramentas
e fazendas funcionar, implantar no nosso processo é assim por diante
tá então é importante tem em mente.
As ferramentas são muito úteis né?
Mas só as ferramentas não não nos dão o que
a gente precisa gente precisa num negócio também chamado processos
né processos, é uma parada importantíssima, Afinal, como é que
a gente executa as coisa na síntese empresa é aquela
que funciona né, baseada em um processo.
Uma empresa hoje, que vinte três né?
Dois três né, empresa que não tem processo hoje
em dia e não é baseado em processo orientada
a processos, ela tende de um fracasso.
Tem fracasso, Porque é muito difícil você lidar
com as do dia a dia, clientes vendas
e tal, você ter processo pequenininho definir, né?
Comprou chega onde vai quem recebe quem prova quem estava,
Quem faz que aquilo como quanto porque um processo muito
bem de ajuda muito eu diria que esse fator ator
crítico de sucesso pra uma empresa hoje vou focar bem,
Ah essa é a grande verdade.
Quando a gente faz isso com nosso contexto de
segurança, olhando pra pequenos especificamente, ter processos bem definidos,
são fatores é um fator que tipo de processo
também para que a gente possa ter de fato
a implementação que a gente precisa.
Porque você pode ter a melhor ferramenta no
mercado, as melhores de profissionais no Mercado e
não ter processos definidos pra aquilo está.
Então uma hora não vai fazer um escândalo, x eu
que vou fazer o calhar numa hora a vulnerabilidade corrigida
sem vinho eu trabalhava com daqui um mês então não
tem uma definição de como as coisas devem acontecer.
Então processos bem definidos, são, fator crítico
de é um fator crítico de sucesso,
pra sua implementação de segunda de geral.
Além então ferramentas processo a
gente explica um pouquinho.
É óbvio falar também de pessoas né, que pessoas,
é também uma uma, uma das parte fundamentais ou
um dos pilares né, que você precisa pra encontrar
segurança ou qualquer outra coisa né?
Afinal as pessoas estão trabalham né, produzem fase,
executa uma tarefa ali no dia a dia.
A menos citar respostas automatizado, de uma pessoa
pra fazer mesmo até pra auto inclusive.
O grande ponto aqui é essas pessoas, elas
precisam de capacitação, constantemente educação ação x, né
o olhei precisa de de várias questões ali
pra somar pra elas pra ter elas possam
fazer a segurança de uma maneira geral.
Vou implementar a segurança não e implementar qualquer outra
coisa não então não, um mínimo de treinamento ou
mínimo conhecimento meio técnico, experiência né uma série de
fatores ele vai trazer a bagagem aquela pessoa precisa
pra executar alguma coisa de fato, né?
Ou fazer aquilo que você precisa do
ponto de vista empresarial ou corporativa.
Mas eu queria tocar num ponto hoje um pouco
um ponto um pouquinho, mas um diria não tão
delicado, mano pouquinho Não passo atrás né?
Um passo atrás que é justamente o seguinte gente?
Pra você ter segurança de fato, e aí é um nome
episódio né segurança num outro leva é num outro nível, pra
você chegar nesse nível, qual é o outro nível né?
Como precisamos de por precisa saber onde que você está,
qual nível que você está hoje onde você quer chegar,
se você sabe que você não está em nível nenhum
você tem se preocupar pouco segurança então ótimo está mais
fácil pra começar, se você sabe já está num nível
um dois três né, aí a gente pode usar diversos
frameworks pra pra ajudar a gente nisso talvez o 0
seja dos mais fáceis né, pra pra gente fazer isso.
Identificar no nível de maturidade com relação
a piquet seguinte e tudo mais.
Mas o ponto é, então se você
sabe você está no nível, 0?
Ser próximo nível um, né, naturalmente.
Se você sabe você está num naturalmente o
próximo dois né, você pode pular né, vai
direto por três e assim por diante.
O fato é gente, queria trazer
pra vocês hoje no Episódio.
E aí até bom não ter debate que
eu não quero ter contra argumentos né?
Os meninos mas na verdade sempre legal de brincando.
O fato é o seguinte gente, o fato de você,
querer sempre, e isso tenho observado muito gente muito tanto
no Brasil quanto aqui fora do brasil, muito nos clientes,
parceiros, profissionais, pessoas trabalham na é fato tá com é
um fato, não bem inventando não.
Eu tenho que observado muita dificuldade de implantar a
segurança, por quê, Primeiro, falta o conhecimento pra aquilo,
né, Então falta ali que que eu preciso fazer?
Muito se fala de segurança muito se fala
em escândalos código muitos se falem tem teste
muito se fala em ferramenta a b c.
E as pessoas são boa pelas essas informações.
E esse bom ele não é bom, ele é bom
obviamente pra quem conhece sabe filtrar essas informações, Então recebo
informações diárias sobre a então eu consigo filtrar o que
é verdade o que não é, que faz sentido que
não faz, ferramenta nova, processo novo melhor.
Ou que é só mais do mesmo ou
que é sua falácia, tem nada a ver.
Igual por exemplo eu já vi aí
no mercado comparações, sars versus das.
Não tem versus da, não existe isso mano, uhum
é que você falar, cardiologista, versus clínico geral.
Não existe da comparação não tem como fazer a
comparação você está com problemas, mas um tempo geral,
pra fazer uma primeira com acesso, fazer uma avaliação
primeiro ali, que vai te encaminhar pra especialista.
Cardiologista um oftalmologista, qualquer outro aí da da vida, eles
fazem uma césar de Cara está com um problema aqui
de eu pedia, né está colunas ela vai lá falar
quanto fetiche, vai está comprar problema x ela vai falar
com otorrino rindo, é então tão acesso a gente inicial,
Aí eu já vi comparações do tipo Sa diversos Não
é não as duas não são brigar ela se complementam,
é uma análise de código da de aplicação, Coisas completamente
distintas que se complementam no ciclo de desenvolvimento seguro, Então,
o fato as pessoas são bombardeada por ativos, por empresas
pra gente, por um monte de coisa.
E aí a falta desse conhecimento, né, do que que
precisa ser de fato pra fazer aquilo facilita ela pra
esse bombardeio de informações Então ela pega a informação daqui
falou da lá eu vi um ativo que fala sá
tiver da lá falou que dá melhor então eu vou
eu só preciso de dar choque no mister, dois erros,
né na esteira, da sc dele, né?
A gente já falou várias episódios
é por que desses erros.
E aí esse é o conto meu conta aqui essa
falta de conhecimento que falta de base não que não
mundo tem que teu conhecimento porque não é isso né?
Não tem coaching, mas uma base, um fundamento,
cara, por que que eu preciso disso e
o que que eu preciso colocar?
Porque se não, volta nesse ponto né, que eu eu
estou enrolando aqui não falei ainda mas se bom a
informação faz o quê faz você tomar decisões erradas.
E ter conclusões de tirar problemas precipitada cerca de
sábias essa aqui tinha cerca dia pro isso seguinte.
Então de novo esse exemplo lá artigo dá melhor, então
eu só precisa de, eu não preciso de sa não
preciso de ser, não precisa de modo não se defender
regras de segurança não preciso preocupar, você eu preciso rolar
um básico, E eu vejo muito o cliente hoje em
dia muito parceiro muito profissional, confiando nisso.
Cara ah eu tenho aqui o gasto, o melhor gasto
no mercado sei lá, right netflix park é a Cunha
pro, eu tenho o melhor taxa do mercado aqui, eu
volto na minha e ele aperta o botão sc, me
traz o resultado eu estou seguro, Na cabeça daquele cara
ele está seguro, porque ele não sabe o que ele
precisa, gente sabe que tem mais coisas a se preocupar.
Percebe?
Então, esse é o primeiro ponto essa
base esse fundamento que falta pra galera.
E eu episódio de hoje eu queria passar esse
fundamento, Aliás todo o podcast é com base nesse
fundamentos, mas é que queria te falar hoje é.
Calma, primeiro, não seja, leia, né, busca informações,
receba essas esse bombardeio, começa a filtrar algumas
coisas mas não tome como verdade tudo isso.
Não tome como vontade.
Questione, por que é isso porque que
é aquilo porque não pra outro?
Pesquisa faz contraponto, arruma
profissional de segurança.
Manda email pra gente que nem
que te ajudar de alguma forma.
Mas a primeira estabelecer essa base, que você
precisa pra poder filtrar pelo menos esse bolo
de informação por você recebe um monte de
coisa você não sabe o que você precise.
Essa é a grande verdade e aí, cai no pior
e que eu diria que é o pior erro de
de segurança, É a falsa sensação de segurança, porque você
vai contar você vai falar você você estou fazendo canto
ou seguro, Pior que a falta pior que a falsa
sensação de segurança, Aliás pior que não está seguro é
a falta a falsa sensação de segurança porque?
Se você não está seguro, você sabe você não
está segurando fala tomar um ra aqui ferrou né
e ok você já está meio aqui, tranquilo quanto
aí isso tranquilo cuidado logo do problema você está.
Não teu dinheiro, teu ferramenta outra pessoa beleza sei
que eu não estou fazendo nada com isso.
Agora pior que falar eu baixo estou consigo seguro, aí
você vai tomar mão um rádio é um ataque e
vai falar putz eu uma bosta, segurança uma merda investimento
que valeu com nada, ou próximo ano você deixa cem.
Sim que pode ser até pior né Então meu meu
primeiro ponto aqui era esse né, eu queria falar esse
dá um passo atrás, com relação a pec.
Filtro tudo o que você ouve?
Filtro tudo o que você vê do você recebe o
que você sabe sobre se você não é um profissional
da área, se você profissão mudar se estuda pra isso,
você dedica isso você você sabe, mas se você não
é, né, porque preciso de segurança as pessoas de ou
a assa preciso dias preciso ter no no meu ciclo,
eu preciso integrar tudo na esteira de pendurar todo mais
esteira, não tem que ter plug na ideia tem que
fazer tratamento moda então, filtro tudo isso procura profissional especializado,
presa consultoria tem aí a nova oito tem a gol
aqui enfim enfim parceiros nossos aí, Usa essa galera pra
te ajudar, eu lógico que custa dinheiro né cara gosta
dinheiro tem muita coisa gratuita também mas usa segurado paternidade
ajudar vão essa base do que precisa ser feito.
Tá e como precisa ser.
E aí esse é eu o passo atrás então,
primeiro calma, né Filtro lance coisa você receber.
O segundo momento que eu queria falar é
exatamente com relação, esse passo atrás é pra
ti ou ins está anotando tempo.
É pra quem impulsiona você um passo trás
pra poder pegar em bala ali pra frente
Porque que esse passou atrás porque?
Muita gente também por conta esse bom de informações puxando
um pouquinho dos gancho ali com o primeiro tema?
As pessoas elas é natural até do ser humano e
inclusive de pessoas técnicas né, da da da área de
desenvolvimento de segurança de querer fazer o melhor, ele quer
fazer o melhor possível, com grama sem grama pensão e
pro ele que faz o melhor possível.
E essa busca pela perfeição vamos chamar assim,
então o carro quer ter a esteira ou
ciclo de dele com s bonitinho lá.
Ele quer ter um processo de definição, requisitos,
ele quer ter um processo de definição de
criptografia, eu pode ser o sono aqui.
Ele quer ter uma ferramenta de site a top no
mercado, e quer ter a ferramenta de atual pro mercado,
ele quer fazer kant ser, ele quer ter plugin na
ide, ele quer buscar por vulnerabilidades lá no processo de
por exemplo, junto com a arquitetura de de de de
aplicações, Ele quer ter um processo que defina as ferramentas
que vão ser aprovadas pra se utilizar pela esteira, nem,
todo time, ele quer ter ferramenta pra treinar os desenvolvedores
ali com relação a vulnerabilidades por exemplo como não criada
ou como corrigidas como é o caso do Coaching Por
exemplo a, ele quer ter processo de verificação validação lá
né com caso de sa taxa né, um double cheque
ali, ele quer ter, ele quer é ter Então por
vez que faz um um deploy por exemplo vai disparar
um uma trilha um presente pra fazer uma avaliação ele
quer ter assinatura de código, vai ter um certificado que
aquele código que está integrado com cliente, ou fazer um
deploy no servidor por exemplo né, assim de digitalmente com
certificado por exemplo.
Ele quer ter um, na terrível então ele garante que toda
executivo toda Pnl que ele gere tem um escândalo mal pra
garantir que aquilo não teve um mal né, não tem valor
embutido ali na hora está, fazendo uma distribuição.
Ele quer tudo isso, beleza e tem mais tá ou
citando aqui algumas coisas tem muito mais, mas ele quer
tudo isso, Eu quero tudo isso, ótimo perfeito, mas você
não vai conseguir começar com tudo isso.
Nem que você esteja presa com int
corporativa grande com grana não vai conseguir.
Não funciona assim é muito difícil conseguir tudo isso.
Se você já trabalhou em empresas globais, estou em
empresa global hoje, é muita burocracia é muito complicado,
tem muito processo definido de ou pouco processo definido
ao mesmo tempo porque você vê os pessoas que
têm às vezes não ajuda ou não são suficiente
de ter que rir fazer algumas coisas, se justificar
a ferramenta, demora um dois anos pra pra aquilo
acontecer então, não é simples.
E aí vai conseguir fazer um pedaço, vou fazer
esse scan vou fazer a assinatura de código agora
vamos focar no sas agora eu vou mulher pra
três moda então, é aos poucos.
Você não vai implementar application security ele, de uma vez
só, é aos poucos, por isso que é importante esse
passo atrás que eu falei agora no talk anterior pra
que você pegue um impulso e vá pra frente.
Literalmente esse ir pra frente é em etapas, né,
vou até separa esse tópico que dezesseis minutos etapas,
faça clemente as suas né incrementa suas segurança de
operações, o seu ciclo de desenvolvimento segundo caralho do
nome que você quiser, baseado por etapas, então e
aí numa ordem lógica, né, você pode querer executar
trás pra frente, né?
E aí você vai você vai tem fazer o né,
você começa a da da do direito pesquisa esquerda você
começa ela com Teste e vem voltando, mas eu diria
começa na ordem, Cara, eu tenho requisitos de segurança sendo
definidos lá na hora que eu estou pensando na nossa
software, na minha ficha por exemplo, eu tenho alguém segura,
eu tenho alguém de segurança aqui, Talvez?
Eu seja a primeira a primeira discussão a
ser levantada, tem alguém de segurança aqui né?
Porque se o problema é esse a gente a gente
quer fazer tudo isso de uma vez só, quer implementar
pelos de uma pessoa e acaba não conseguindo.
Então, faz a faz etapas faz baseado, né, pega
ali requisito de segurança eu vou começar a olhar
pra requisito de segurança, durante o meu ciclo de.
Beleza, então você está um processo, não primeira coisa
era lá beleza não todo requisito funcionava eu vou
ter minha quesito de segurança eu vou olhado com
a juiz segurança pra ele, Beleza.
Etapa número um, isso pode demorar um ano pra você
conseguir, depende da sua empresa mas vai ter como com
com usuário, com que define como que é o processo
de definição de backlog e tal tal, pô legal é
aqui, vamos nessa ferramenta aqui tá vamos vamos ao giro
vai de devolve, está o gira está bom todo requisito
vai estar no giro algum no gira pra requisito segurança
um item um filho, sei lá um exemplo tá?
Ou não precisa falar assim não, cara, na verdade, abordagem
eu vi uma palestra dia do Cárcere pereira né, ele
fala palavra do the rio chefe, ele fala que não
tem que ter requisito funciona é de segurança, é um
requisito só, que que está tudo ali, requisito funcional já
tem que contemplar a segurança, se não da margem pra
então vou fazer funcional, business esforço o negócio da pessoa
professora funcionando segurança ou vejo depois da margem então não
quer fazer a sua margem, né Então esse é o
primeiro é primeiro ponto.
Aí você pra segunda fase, o cara segunda fato, o
seguinte, eu vou com base nisso aqui nos requisito eu
vou mostrar pra fazer modelagem de ameaças, eu vou começar
a fazer tra alckmin, legal então você pensa agora o
começo fazer trade mole, com base no mas um brainstorming
moles escolha um framework de moda, eu vou aprender fazer
tra moda, já comentei aqui tem pelo menos eu conheço
treze doze treze, sem uma diferentes pra fazer isso mas
mais comum seja trade, que a parte Microsoft inclusive lá
no na ferramenta deles, então você vai aprender um desses
sistema pra começar a fazer então, Esse é o ponto
gente apliquei essas em etapas.
Não adianta fazer tudo de uma vez,
você vai ter que fazer baseado.
Porque se você quiser fazer tudo de uma
vez é muita coisa você não consegue.
Você depende de a menos que tem uma empresa muito pequena,
lá duas das pessoas você beleza aí é um jeito que
fazer mas é assim né se faz aos pouquinhos.
Aí depois você vai começar a pensar em fazer de
aplicação, cara é tudo depois mas tem que treinava a
galera preparar o seu terreno, sabe preparar o terreno, Ariel
o terreno, né, botar a água na elas começam a
nascer têm que cuidar da zé, pra fluir né, crescer
etcétera trezentos cento etcétera etcétera, até daqui um tempo se
você acolher aqui, e manter pra crescer de novo e
colher de novo eu de novo falei. Então?
O grande truque aqui pra quem não está pra quem
está assistindo no Youtube eu estou fazendo sinai mas o
grande truque aqui gente, a grande sacada né, nesse ponto
todo é, o passo atrás que vai te dar impulso
pra ir no direção correta, mas principalmente ir na direção
correta, de uma forma organizada.
E aí esse o filtro que eu
queria fazer aqui com vocês hoje.
Pra todo mundo que escudo deve ser corpus de
acompanha a gente aí desde a primeira temporada já
estamos na quarta temporada vale sempre lembrar isso estamos
na quarta temporada do Deve podcast. Segurança.
Tecnologia.
Deve sex.
Então acompanhe tem muita coisa que a gente já falou aqui
né eu comprei justamente isso então, não vai dar fazer tudo
de uma vez, você vai fazer baseado, vai dar um passo
atrás ou começar pensar e vai executar com calma.
Por quê porque esse é o segundo terceiro
ponto na verdade que primeiro trocar com vocês.
Vocês vão precisar fazer isso pra que É a
história que eu faço, feito é melhor que perfeito
feito os focos pra ficar mais fácil.
Feita melhor que perfeito.
Você pode até pensar assim pô mas isso
é meio como contraditório, mano estamos falando de
segurança da informações então falando sair dessa, não
tem como algo ser menos que perfeito.
Eu entendo, a empresa que eu trabalho
hoje por exemplo a Bebê, é a
uma empresa que lidar com sistemas críticos.
Críticos mesmo né?
Comprar, controla na de de energia,
controla plataforma de petróleo, esses caras
assim eu tenho que buscar pra.
Teu tem não tenho todo dia.
Igual Ecommerce da vida que eu já trabalhei
aqui a vinte depois no dia a produção,
Então eu não tenho um detalhe todo dia.
Eu tenho dois depois num ano, você tem planejado
executado, incrementado vai tendo um monte de coisa é
muito bem definido monte a gente pensa chega desse
chato muitas vezes dificuldade verdade, Mas quando eu chego
no dia release eu garanto que tudo cara tudo,
foi testado validado pensado e tem um release feito
a versão X Vai sair.
Porque não posso ter uma falha num usina usina de
energia, uma falha que eu digo não uma área de
segurança, Eu não posso uma falha numa plataforma de petróleo,
porque a vida de pessoas, da sociedade e serviços críticos
estão em jogo, Então nesse contexto eu tenho tempo pra
pensar muita coisa implementar muita coisa o tite que muita
gente é mais fácil de certo modo, e ainda assim
eu estou brigando ainda né pra várias automações, melhores ferramentas,
uma série de questões que a gente também tem que
melhorar, né, apesar de já ter um controle muito alto.
Mas aqui nesse contexto, aí sim o perfeito
ele não posso ser menos que o perfeito.
Quando a gente volta com contexto um pouquinho mais
amigável, e ecommerce, sites, né, aplicativos e tal, ok,
o impacto ele pode até tem impacto na sociedade,
mas ele é crítico ele não sistema crítico.
Ele pode ser crítico financeiramente pra aquela empresa, mas
ele não é crítico do ponto de vista conceito
não crítico, Aí o meu é ecommerce que vem
de chinelo está fora do ar.
Aí o meu ecommerce que vem de
comida pra Pet está fora do ar.
Aí o ecommerce que vem de roupa está fora do ar.
Fodase assim.
Depois ponto de vista das sociedades estivesse vai
entrar na lista de Memes e perder umas
grana aí com, fodase assim, ninguém morreu por
causa disso, Agora, uma falha na plataforma de
petróleo, explodiu um sensor, cinquenta pessoas morreram.
Isso é um problema, muito maior do que
o seu ecommerce fora do ar um mês
que fosse, entende, então até como sociedade a
gente tem que enxergar saber segurança diferente.
O problema do outro, certo modo fodase né?
Porque quando é outro é legal mas, e quando é
um outro que afeta a sociedade ou a vida de
pessoas, Por mais que aquelas pessoas não sejam suas conhecidas
mas uma pessoas toda vida é importante, né, então e
até pra sociedade né, Então a ficou fora o sistema
de distribuição de água da cidade x, se não é
a sua você pode pra falar ah beleza.
E aí quando é sua fala que Bosta
se uma merda tem segurança envolvida de uma
maneira geral esse é o ponto aqui.
Então quando a gente volta com nosso contexto agora
né, de aplicações mais não críticas eu vou chamar
assim, Ia falar em inúteis né porra.
Desmerecendo toda a cadeia de empresas
né, né, não é isso também.
Então quando a gente volta por sistemas não
críticos, aí entre essa questão que eu estou
falando agora o feito é melhor que perfeito.
Por quê as pessoas têm olhar pra saber a segurança que
que gente como perfeito não só precisa ter isso isso isso
isso todo esse contexto que eu expliquei aqui agora.
Não cara, começa com as etapas que eu mencionei anteriormente,
começo com a etapa um, começa a etapa dois, três
é pra quatro, E vai aos poucos, o feito é
melhor que o perfeito, porque o seu perfeito demora muito
você não vai fazer, você fala que não tem verba
falar que não tem empresas lá não tem ferramentas sei
que não tem pessoas e você não vai fazer.
Você ia continuar no Nível 0.
Mas se você pensa assim não espera
aí, eu preciso fazer dez coisas aqui.
Qual é a primeira a primeira precisa ter um processo de
definição de de segurança ah ah é fácil pô ela faço
aqui assim, beleza já está no nível um Putz agora eu
preciso dar ferramenta lá, exemplo tá é é código opa, não
vou fazer ou pensei, você quer um esse meu vale ferramenta
vai avaliar curso, valer mais um pouco mais de tempo, já
eu descobri que é caro, como o caso do ferramentas seguinte
a gente recomenda aqui como é o caso da Cheque mas
por exemplo uma ferramenta barata.
Fernando do mercado, espero que seja que
de graça, Miguel funciona assim, né?
Então, já descobri é caro, às vezes não estava no
seu planejamento pro próximo ano e assim vai, até você
chegar no nível dois, eu agora tem esse ganho código.
Aí você vai pro nível três pô cara teste que está
aqui no red team que testa nas aplicações ou país vai
pro nível quatro então, você vai aos aos poucos primeiro um
mês segundo mês primeiro ano segundo ano, o que quer que
seja as etapas ou as fases de aprendiz ser pra você.
Eu trabalhei em empresas que eu demorei,
três anos, três anos pra atingir um
nível que eu falava assim, que bosta.
Isso sério gente, torno uma empresa eu trabalhei
três anos lá, instintivamente tinha tudo monte de
coisa, mas segurança de aplicações elas 0.
E em três anos lá eu falei, agora eu
estou num nível merda, e eu já tinha, esse
candidatos da automação em pipeline e sem de vulnerabilidade
com uma gestão de jornal das mais ou menos
então olha, gestantes de por si só um papo
muito conseguir ferramentas candidatos código então nem se fala.
Então eu demorei três anos pra conseguir tudo isso
e falar tudo isso, pergunte outras coisas inteiramente eu
coisas né, mas essa talvez as mais de destaque
pra eu falar olha que boston.
Por que que boston Porque estou faltando tas, está
faltando que de moda hein, está faltando uma porrada
de coisa a escândalos um monte de coisas, poucas.
Então veja se eu três anos chegar no meio aliança
nossa que bosta, imagine empresas que nem tem nada?
Ou você é aí que está ouvindo agora e deve
pensar assim poxa eu quero chegar no nível top, você
não vai chegar hoje você vai chegar daqui três, seis
dez anos, meses não sei depende da sua empresa também
depende do processo, de repente tem dia definir pessoas diferentes,
encontrar todo mundo pra empreendedor dor está tudo certo.
Ainda assim vai ter a questão cultural de processo
que Essa cara, não uma ferramenta que pague.
Uma grana que pague isso cultura, a menos que você,
troque todo mundo e traga tudo um novo, aí você
tem a cultura diferente né, por conta de você ou
com a equipe, mas você não tem o coisa de
negócio quando ter equipe tinha não vai ter.
Então é muito difícil fazer isso.
Não é fácil fazer esse é o ponto que
todo quando eu quero colocar aqui pra você chegar
esse é o ponto aqui do do nosso episódio
não, vinte e quatro minutos, pra você chegar.
No nível de pelo afeição, você
precisa ter esse mindset sete cara.
Então eu sei que eu não estou bem eu sei
que eu preciso entender o que eu preciso fazer, preciso
contratar a ferramenta tal aí eu vou dar um passo
atrás, calma, né, não vai acreditar tudo que me falaram
chamar uma especialista, o que que eu preciso fazer cara,
pra sua empresa, criatividade cidade dela você precisa fazer isso,
legal e aí esse isso você vai passear, quebrando etapas
né, fazer ali definir um plano né é um ano
pra cada fase, seis meses pra cada frase não sei,
depende de cada empresa de cada negócio.
Aí você vai né o fato de você já fazer baseado
fazer fazenda, já tenho um pouquinho desse efeito perfeito né?
Não você querer fazer seu perfeita uma vez só.
Pra fazer um pouquinho cada vez pra ir
implementando isso aos poucos né e melhorando.
E segredo gente, aqui aqui vai o segredo da perfeição.
Implantou, não larga isso lá.
Exemplo clássico, clássico clássico clássico.
Kant por exemplo, a melhor ferramenta do
mercado, Chegaram na frente da empresa implantou,
dois dias tem implantado o Champions mas
fácil, integrado na esteira do cara, integrado
ao integrado plugue de, tudo lindo maravilhoso.
Jogando quando na verdade já no Lixo dele do
git por exemplo ficar cara sério gente um dia
a gente faz isso, um dois vinte faz isso. Lindo.
E aí o cara está toda vez que eu roda
faz um esc, disparos que te mas, alguém joga as
zona no no gira, ninguém mais vê isso nunca mais.
Daí chega um projeto novo né, integra de novo a
empresa entrega integra de novo começa a fazer isso encanto.
E aí o pessoal esquece isso, esquece que tem que olhar
a configuração do campo esquece que pra cada projeto tem pasta
que você tem que excluir que não faz sentido fazer câmeras
hein e fazer o timing né, que a gente fala.
Pra cada projeto uma linguagem diferente, pra ter uma cobertura
maior ou menor de de sas, pra cada projeto, né,
se você tem que fazer ali um uma uma variação
das e tem coisa que tem contexto de vulnerabilidades que
não são explorado pra você, ou o impacto é menor
do que a ferramenta está dizendo?
Às vezes tem na verdade que é média tecnicamente, mas
um parte é muito no seu negócio você quer classificar
como alta tem que na próximo sprint, por exemplo imediato,
e outras que são altas que pra você impactar melhor
elas médias então ela vai na próxima sprint um.
Então, o processo de gestão de voluntariado, o
processo de triagem de vulnerabilidades, o processo de
integração, com esses projetos no site por exemplo
na sua, você quer quebrar build, ele quebra
build com quantas modalidades.
É 0, não aceita nenhuma uma verdade você
aceita três cinco dez cem, isso é por
projeto por produto ou por empresa.
Então todo esse acompanhamento esse cuidado nesse caso que
eu estou falando que de tá, todo esse cuidado,
tem que ser feito, tem que existir, eu vejo
também muito estou muito cliente muito parceiro, muito profissional,
técnico implantado desde o gel.
Daqui a um ano cara você vai ver que a ferramenta
não tem valor, por quê, Ela está fazendo quero fazer isso
que eu fazer isso que esse ganho jogando na verdade fazendo
isso que eu juro na verdade Aí você vai começar a
na um dia separa pode mas tem fotos positivo aqui.
Aí você vai ver código de teste aí você
vai ver código que não é relevante pra a
produção, a gaveta vida fazendo escândalos bryan errada.
Aí você vai ver tem mil vulnerabilidades na porque a
ferramenta está buscando muito de low por exemplo você quer
focar nas altas e médias por exemplo, Ou todas vão
está achando nenhuma fere o seu complexo de pic, sei
lá, Percebe então, pra cada projeto pra cada contexto.
Tem um o contexto de fato, e que alguém
precisa dar uma atenção pra isso, um carinho especial
pra se olhar pra isso com cuidado, Então a
perfeição é esse o ponto que agora, é fazer
uma vez, fazer duas, Três, acompanhar, aperfeiçoar, ver como
outros fazem volta justa, mexe, professor.
Você não é o dono da verdade Tomei até
um susto que eu com minha cachorro aqui agora.
Você não é o dono da verdade, né, então é o
que eu falo, tem que observar o outros fazem como é
feito e Gente, você não faz isso sem profissional de segurança.
Você é desenvolvedor tec, arquiteto master, pi, ceo, mano,
fodase, você não é um cara de segurança.
Precisa de alguém de segurança. Por quê?
Eu não sei se vocês lembram do filme o, que é
comprar de pinte lá dos dos um e tal, e lembro
que ele vai pra Israel buscar respostas no no meio do
filme e então ele fala cara em israel no contexto aos
caras tinha décimo de décimo homem né?
Que é está numa reunião, esse nove homens né
daqueles dez caras na Reunião nove eles concordasse, o
décimo tinha obrigação de discordar, mesmo que ele não
quisesse tipo de discordar tinha fazer diferente.
Porque aqueles não estar pensando errado.
E aí na questão dos um ele fala cara
uns nove pessoas falam não, está quando nada tal
e o décimo era não mas vai dar merda.
Sim né, Então vamos construir os
muros aqui a alta tal tal.
Então né, foi assim, a última cidade caiu né, no
meio pandemia zumbi lá e tudo mais porque os últimos
muito superar fim de unidos era super inteligentes fu vai
pular a cor do muro, escalar um outro subir do
muro, mas velocidade que duram mais.
O ponto aqui é esse, o profissional de segurança ele tem
este viés, ele tem esse mindset, pensar do ponto de vista
que a gente fala de pensar como um adversário né, pensamento
adversário é pensar como atacante pensar como hardware do mal, pensar
como aquele cara que quebrar a empresa que invadir quer destruir,
o pra testar o próprio código ele já pensa no caminho
infeliz por isso você tem uma equipe de teste, o cara
de deixa vai chegar e vai apertar quinhentos botão com não
mencionou sabe que apertar aqui aqui aqui vai funcionar, deixa se
eu apertar na ordem inversa se eu botar um estranha no
lugar do número se não tocou um no já pra string.
Às vezes desenvolvedor às vezes não muitos vezes desenvolver
eu fui des, a gente testa o caminho infeliz
pintar tal beleza está funcionando está falando.
Aí as dois três cenários diferentes ali falou beleza,
Mas cara, vai ter bug, Então, por isso que
você precisa da profissional de segurança porque ele vai
te ajudar a definir tudo que eu falei aqui
agora ferramentas pegando a minha colinha, ferramentas.
Processo pessoas, darem esse passo atrás
pra impulsionar, pensando essas etapas baseadas.
Feito é melhor que perfeito, fazer baseado né,
de fato e nessa de perfeição, esse cara
tem um mindset que vai te ajudar.
O não tem o se não tem pode ter direção
negócio melhorar a automação a linguagem ele vai precisar dessas
pessoas lógico possível, mas é segurança que tem mindset de
bloquear, por isso porque aquilo questionar, mas e se for
feito dessa forma, e se for feito de outra forma.
Ele tem um mindset pra isso, Então sem um
profissional de segurança ficar muito mais difícil pra vocês.
Me participar do podcast bem.
Fica muito mais difícil pra vocês, implementar inseguro então, é
esse esse era o contexto que eu queria trazer no
episódio hoje em fiquei dez minutos pra finalizar.
De literalmente gente, dar um passo atrás, de novo né,
estou estou batendo tecla porque isso é importante, Dá esse
passo atrás pra você caminhar de fato, Até o próprio
podcast aqui, cara, a gente falou tanta coisa nessas nessas
quatro temporadas, revisa, ah você viu episódio uma vez só
pô espera aí o gasto falou que tinha que fazer,
taxa, Aí no outro episódio falou que não, na esteira
não faz sentido.
Aí no outro e falou espera aí, você pode
ter desde que seja assim ameaçado, percebem, então e
de fato tem marca tem alguma alguma coisa mais
ou menos assim mesmo, porque sempre defenda que na
esperança você tem que ter todos os tais possíveis.
Mas das é um teste demorado, então
não faz sentido determinação externa inspirando acontecer
então você tem que ter uma configuração
um pouquinho mais mais trabalhada ali.
Então o fato gente, e de todo esse episódio de
hoje, carreira solo né, sem o 0 nosso amigo Marcos
sem o 0 grande Rodrigo e o e o gabriel,
era pra falar um pouquinho sobre isso.
Dessa maturidade que precisa desenvolver com relação a
psíquicos, ou deve ser cobra maneira geral, esse
esse bombardeio de informações que a gente tem
é lado, de processo, qual melhor frame come
na ferramenta, Aliás esse é um dos principais
problemas conteúdos, qual a melhor ferramenta?
Que curso eu faço, Cara, não tem isso gente.
O que que tem?
Você está na dúvida do fazer o que seguir implementar no
mínimo, lê um frei, lê iso vinte sete mil e dois.
Vale numa pic da vida sei lá, lê o Mister, pega
algum padrão aí desses ler, e principalmente que está lá, Você
não sabe que fazer implementação, padrão iso isso início da vida,
pega o guia da Sun lá de alguma coisa pega o
contexto desses com relação ao daqueles rio e faz.
O Eike lá o meia dois quatro quatro três,
Pega algum desses e faz você não sabe o
que fazer segue pelo menos algum padrão bom internacional.
Pronto gente drop a Do guarda
não atrapalha tanto o episódio né?
É botou breve c greve sequei, c tre c.
Deve uma aqui pra dar um quebra mas
é isso gente, o episódio de hoje um
episódio de pouquinho talvez mais curto né?
Vamos alguns minutos aqui ainda.
Mas isso que eu queria falar pra vocês então a própria
educação é o própria formação dessa galera, e esse ponto eu
estava falando né, do do dos das ferramentas né, enfim, fica
muito complicado, a gente querer implementar tudo de uma vez só
né, ou ou ouvir de um lado ou de outro essas
questões né do qual a melhor ferramenta é como melhor é
feio, então meu não sabe o que fazer, não sabe nada,
não tem gente, lê um padrão, lê iso ler aí, que
já é um guia pra você estar seguindo um padrão internacional,
não está fazendo o que veio da sua cabeça, não está
fazendo o que o ka falou não está fazendo que o
podcast não sei de quem falou ou que fulano está fazendo
a comparação tiver sa, mano, não você tem que tomar muito
cuidado, muito cuidado com a gente ver internet com a dizem,
senão não é de fonte de padrão, né, não manda iso,
não é do governador, se não é dessas fontes gente.
Questiona até o que a gente fala aqui no
Podcast por exemplo, né Olha que o Livro é
muito padrão como como referência, processos né, como referência,
mas Microsoft d enfim, muita coisa tem experiência nossa
no dia a dia que meu que que funcionou
que não funcionou né, a minha principalmente, o que
que deu certo aquilo não Deu certo.
Mas muita coisa a galera viajou, ela viaja, por isso
que eu queria dar esse alerta pra você invés de
tomar um pouquinho de cuidado, com essas via né?
Eu só fala com eu fala com com
a propriedade de algumas coisas, às vezes o
cara não tem embasamento o cara escrita gente.
Mais variadas compras.
Não sabe de ver livro vai porque que que foi eu eu
já eu já ouvi olha só eu já cheguei em palestras já
cheguei em eventos a galera questionava sas Pra que espanca.
Mano?
Como pra quê, tem que ter Não tem não
não tem argumento quanto com relação isso, mas a
cabeça do cara era, sa é muito falso positivo.
Então não preciso disso.
Claro depende do sas depende da sua linguagem depois como
é que você faz, você precisa ter alguém isso que
eu falo você tem ter alguém olhando processo.
Não à toa tenho explicando o site, né é o curso
do tio que ensina você a fazer acesso Porque é complicado.
Então vou você falar sa é ruim, você sabe fazer?
Então quando alguém me fala que sas é ruim que dá
é ruim que é você sabe fazer você está falando?
Por que que é ruim?
Ah, porque eu ouvi falar porque eu li sei não, então
você lê pouco então se ouviu de quem não deveria ouvir.
E eu provo por mais medo por
que que você precisa tudo isso?
Óbvio, você parte empresas num contexto mais crítico, mesmo um
contexto menos crítico como é que todo mundo precisa ter
tudo isso não, como eu disse, onde eu trabalho hoje
são sistemas críticos então eu preciso ter isso e mais
um pouco, eu tenho muita coisa que eu não trago
aqui, talvez seja o contexto do nosso por um nível
de segurança maior mais avançado, de arquitetura e tal, porque
são contexto mais específico não é porque que a maioria
usa, e muita coisa a gente fala do dia a
dia porque são coisas que vão funcionar pra todos vocês,
né, mas o que que eu diria?
Os treinamento, busca esses padrões né, cursos oficiais faculdades
ajudam muito porque tem embasamento, tem pesquisa, tem artigo,
vem de uma fonte confiável, Né, o que eu
vejo hoje esse episódio foi mais um pouquinho assim
de dar direção pra galera vejo hoje muita gente
perdida porque, ler de todo lado houve todo mundo,
sabe de tudo, não sabe nada.
Sabe de tudo não sabe de nada, essa é a
grande aí tem gente que, muita empresa defende ferramenta, né
inclusive os próprios fabricantes não você não precisa de.
Por que que mundo Fabrício defende a própria Primeiro
que quer vender, naturalmente mas segundo o que tem
tem uma guerra e acontece uma guerra nesse sentido
não espera aí cara a minha ferramenta é cara.
Então se que ela tem orçamento, só pra mim,
eu vou convencer ele e não precisa do outro.
Só pra precisa da minha?
Sabe?
Então a mesma coisa do médico fica pra você falar
cara é o seguinte, imagina o médico chega pra você
e fala mas o seguinte, você precisa fumar, você precisa
fumar constantemente e comer gordura mano, isso você precisa, você
fica forte, Tinha não está né?
Pra ficar forte com a gordura.
Bom, não sou principalmente que daqui
a pouco galera que é de.
Mas percebe que ele está te dando uma receita
do caos né, para que você volte no médico.
Ele seria mais te dar receita de que você nunca
mais pudesse ver na vida, Percebe, por outro lado ele
não ganha dinheiro, não tem não ciclo não então falando
o que isso acontece a gente, tudo um exemplo hipotético
aqui, Então entra de segurança, cara você não precisa de
bem teste, não só precisa de.
Cara você não precisa você só precisa você não testa,
está errado sentido dos dois e mar e muito mais,
Teu cuidado não você ouve quem você segue como que
você está fazendo de novo, será que essa receita que
dá passo atrás e impulsiona, querem etapa fala com especialista,
fala com jeito de confiança.
Tem muitas de boa no mercado muito mesmo, no Brasil
fora, tem muita boa, mas tem muita gente ruim, Tem
muita empresa ruim, e tem muita desinformação, que esse é
um a palavra de hoje tem muita desinformação que acaba
te te atrapalhando um pouco você não sabe o que
fazer isso ficar meio perdido né, se quer.
Esse é um bom também Bom, pessoal esse episódio
hoje episódio de solo, graças a Deus não tem
aquele bando de trouxas pra trabalharmos nossa relação Agradeço
a vocês, ter ouvido episódio de hoje, vale lembrar
que semana que vem, que vem tem episódio internacional
de novo convidados ou convidadas internacionais então.
Tive que mentir Espera com você, eu sou ka
Pereira seu mais deve ser podcast, quarta temporada, né,
quarta temporada que não falta episódio pra você curtir,
beleza então, nos vemos na semana que vem, valeu.
Termina aqui deve ser, deve ser o
seu podcast de segurança em tecnologia.