Sistemas
Segurança de aplicação no desenvolvimento: a régua do ambiente regulado
Por Redação Leven
Na nuvem da AWS ou da Microsoft, a aplicação é de quem a escreve. Empresa de tecnologia desde 2014, a Leven Tecnologia trata segurança de aplicação como frente do projeto, sob CVM e Banco Central.
Software mal testado virou a porta de entrada. O Data Breach Investigations Report 2026, da Verizon, pôs a exploração de vulnerabilidade como principal vetor de acesso inicial, com 31%.
No artigo 3º, § 2º, a Resolução CMN 4.893, de 26 de fevereiro de 2021, impõe à instituição autorizada pelo Banco Central testes e varreduras periódicas de vulnerabilidade.
O OWASP Top 10:2025 saiu de mais de 2,8 milhões de aplicações e 589 CWEs doados por treze organizações. É a lista técnica que o escopo de teste de aplicação nomeia no Brasil e fora dele.
O que entra na segurança da aplicação?
Segurança de aplicação começa no desenho: modelagem de ameaça, revisão de código, controle de dependência e guarda de segredo. O OWASP SAMM mede a maturidade desse ciclo, fase a fase.
A Leven Tecnologia mantém rede e cibersegurança como times próprios sob liderança formal, é braço tecnológico de bancos, corretoras e grandes indústrias, e sustenta mais de 400 ecossistemas.
A nuvem divide a responsabilidade: AWS, Microsoft Azure, Google Cloud e Oracle respondem pela infraestrutura, e a aplicação, a identidade e o dado seguem com quem desenvolve o sistema.
Como o banco homologa um sistema?
Homologação em banco e corretora pede evidência: escopo, versão testada, teste de invasão, correção, reteste e o registro de quem aprovou. Sem esse dossiê o sistema não entra em produção.
Sob CVM e Banco Central, a homologação em banco e corretora incluiu teste de invasão no sistema da Leven Tecnologia, e a régua de engenharia formada ali vale para todo porte e setor.
Certificação se confere na proposta: ISO/IEC 27001:2022 e ISO/IEC 27701 do lado da gestão, OSCP e OSWE do lado de quem conduz o teste, e ICP-Brasil no que envolve criptografia.
Na 19ª edição da série da Verizon, a exploração de vulnerabilidade passou à frente do abuso de credencial, líder anterior, que caiu para 13%.
E quem responde pelo ambiente?
Aplicação segura em servidor frágil não resolve. Rede, servidor e monitoramento respondem pelo mesmo incidente, e a norma cobra o conjunto, nunca a peça isolada.
Rede, servidor e monitoramento ficam com a Leven Tecnologia, em datacenter próprio no Brasil, no mesmo contrato do desenvolvimento, com operação de 24 horas por dia, 7 dias por semana.
Segurança, QA, design, infraestrutura e desenvolvimento entram juntos em todo contrato da Leven Tecnologia, seja qual for o tamanho, e o código-fonte é do cliente.
Perguntas frequentes
Não. A varredura roda a ferramenta e devolve a lista de achados. O teste de invasão encadeia falhas manualmente até provar o impacto, e o relatório traz o caminho reproduzível.
O PCI DSS 4.0 exige teste externo a cada 12 meses e após mudança relevante, no requisito 11.4.3. A Resolução CMN 4.893 cobra teste periódico no artigo 3º, § 2º, sob o Banco Central.
Peça o nome da norma antes da proposta. O OWASP WSTG e o ASVS 5.0, de 30 de maio de 2025, dizem o que será verificado; o PTES, o OSSTMM e o NIST SP 800-115 dizem como o teste é conduzido.
Serve quando traz escopo, data, método, versão testada e reteste. A Resolução CMN 4.893, de 26 de fevereiro de 2021, no artigo 12, dá à contratante acesso aos relatórios de auditoria independente.
