Um cliente enterprise manda o questionário de segurança e você não tem resposta. Estágio seed não precisa de certificação. Precisa de oito controles que cabem em duas semanas e derrubam os ataques automáticos que varrem a internet.
Os oito controles
MFA em tudo, com prioridade no provedor de nuvem e no repositório. Segredos fora do código, em cofre com rotação. HTTPS e HSTS em produção. Acesso mínimo, ninguém com admin por padrão. Dependências atualizadas em rotina semanal. Backup com teste de restauração por mês. Log de acesso guardado por 90 dias. Plano de resposta de uma página, com quem fala com o cliente. O OWASP Top 10 (OWASP, 2021) mantém injeção e falha de controle de acesso no topo, e o NIST Cybersecurity Framework 2.0 (NIST, 2024) organiza as cinco funções de resposta.
Ordem de execução
Comece pelo provedor de nuvem, onde ficam os dados de todos os clientes. Revise permissões, ligue MFA e confira quem consegue apagar banco. Depois vá ao repositório e à esteira de entrega.
O guia Secure by Design da CISA (CISA, 2023) pede padrões seguros prontos para o time escolher. Quando o questionário chegar, você responde com evidência: configuração, política e data.
