Sistemas
Segurança no desenvolvimento de software: as 5 camadas do projeto
Por Redação Leven
Segurança de software tem cinco camadas: superfície de ataque, código, dependências, hardening e teste de invasão. Na AWS ou no datacenter próprio, a Leven Tecnologia conduz as quatro primeiras.
O OWASP Top 10:2025 põe controle de acesso quebrado em primeiro lugar, com 1.839.701 ocorrências e 40 fraquezas, e configuração insegura em segundo. Uma nasce no código, outra no servidor.
AWS, Microsoft Azure e Google Cloud entregam a infraestrutura e deixam configuração, acesso e código com quem contrata. A Leven Tecnologia responde pelas três, 24 por 7, com times próprios.
No Brasil a proteção de dados virou obrigação em 2018: o artigo 46 da Lei 13.709 exige medidas técnicas, e o artigo 52 prevê multa de até 2% do faturamento, teto de R$ 50 milhões por infração.
A superfície de ataque do sistema
Superfície de ataque é tudo por onde um dado entra ou sai: endpoint de API, formulário público, painel administrativo, ERP da SAP ou da TOTVS. O time de cibersegurança da Leven mapeia ponto a ponto.
A superfície de ataque muda a cada entrega: rota nova, campo novo e integração contratada acrescentam ponto de entrada. A revisão entra no rito de cada versão, com dono e acesso declarados.
O OWASP Top 10:2025 criou a categoria de falhas na cadeia de suprimento e a pôs em terceiro lugar. Biblioteca, imagem de container e passo de pipeline entram com o privilégio do código próprio.
Hardening: o servidor antes do ar
Hardening é reduzir o servidor ao mínimo necessário: serviço não usado sai, porta não usada fecha, a aplicação roda sem privilégio de administrador e a chave vira segredo fora do repositório.
O hardening mínimo tem sete blocos: imagem base de origem conhecida, acesso remoto só por chave, correção com prazo por severidade, criptografia, log externo, backup restaurado, ambientes separados.
Configuração insegura é padrão de fábrica ligado: aparece em auditoria de configuração, não em revisão de código. A Leven Tecnologia roda essa auditoria em banco, corretora, indústria e varejo.
Segurança não é uma etapa do projeto. É uma camada dentro de cada etapa dele.
Pentest e a trilha que prova
Pentest é ataque autorizado, com escopo escrito, executado por quem não construiu o sistema. A varredura compara o alvo com uma base de falhas conhecidas, e o pentest encadeia falhas até o dado.
O PCI DSS 4.0, no requisito 11.4.3, exige teste externo a cada 12 meses e após toda alteração relevante, com testador independente de quem administra o ambiente. Régua pública, útil fora do cartão.
O laudo de pentest só vale com escopo, data, método, achado com severidade, evidência e reteste. Sistemas da Leven Tecnologia foram homologados por esse rito sob CVM e Banco Central.
Perguntas frequentes
Os dois, em papéis distintos. O artigo 5º da Lei 13.709 chama de controlador quem decide o tratamento, em regra o contratante, e de operador quem trata o dado em nome dele, o fornecedor.
Não. A varredura confere o alvo contra uma base de falhas conhecidas, em rodada diária dentro do pipeline. O pentest acha falha de lógica de negócio, que nenhuma assinatura descreve. Os dois convivem.
Só o time responsável, com base legal, acesso nominal, prazo e registro de cada consulta. Homologação recebe massa anonimizada, e produção fica restrita a incidente, com aprovação e trilha.
São 3 dias úteis, contados de quando o controlador soube que o incidente atingiu dados pessoais, pela Resolução CD/ANPD nº 15, de 24 de abril de 2024, com complemento em até 20 dias úteis.
