Propósito da aula
Capacitar profissionais de desenvolvimento, segurança e GRC a traduzir os 9 controles de desenvolvimento seguro do Anexo A em práticas concretas do dia a dia e nos registros que sustentam uma auditoria. Ao final das 2 horas, o participante sabe posicionar cada controle no seu próprio ciclo de desenvolvimento, escolher as práticas e ferramentas que o implementam e produzir as evidências como subproduto natural do processo, sem fabricar documentação de véspera. A aula serve tanto a quem busca certificação quanto a quem quer elevar a maturidade do desenvolvimento sem criar burocracia paralela.
O que será ensinado, em visão macro
A aula percorre cinco blocos em sequência lógica, da norma à prática:
- A ISO/IEC 27001. Como a norma se organiza (cláusulas 4 a 10 sobre o PDCA), os 93 controles do Anexo A, a quem se aplica, o papel da Declaração de Aplicabilidade (SoA) e um exemplo de escopo mostrando quando os controles de desenvolvimento são ou não aplicáveis.
- Fundamentos do ciclo de vida. O SDLC e seus modelos (cascata, Modelo V, iterativo, ágil, DevOps), o custo crescente de corrigir tarde, o conceito de Secure SDLC com shift left e o mapa dos 9 controles posicionados sobre as fases do ciclo.
- Os 9 controles de desenvolvimento de SW da 27001. O coração da aula: A.8.25 a A.8.33, um a um, no formato "o que a norma pede, como implementar, evidências na auditoria", com dois exemplos concretos (um pull request com revisão de segurança e o desenho de ambientes segregados), a visão de como o auditor avalia e um exercício de diagnóstico em plenária.
- Práticas e ferramentas. O pipeline DevSecOps completo, as três categorias centrais de ferramenta (SAST, DAST e SCA) e a matriz que mapeia dez práticas de mercado aos 9 controles, mostrando onde cada uma implementa ou evidencia cada controle.
- Frameworks e normas complementares. O mapa das referências agrupadas por propósito (ISO 27002, NIST SSDF, OWASP SAMM e DSOMM, ASVS e WSTG, ISO 29147 e 30111, SLSA e SBOM) e o desdobramento de cada grupo, encerrando com o kit de evidências do auditado e os cinco erros que mais reprovam em auditoria.
