A equipe de analista de sistemas Alfa aplica o DevSecOps ativamente em seu processo de desenvolvimento de software. Todos os membros da equipe Alfa são incentivados a se preocuparem com a segurança do software de forma proativa desde o início do processo de desenvolvimento, aplicando diretamente a prática DevSecOps:
- A)shift left;
Correta: shift left significa antecipar a segurança para as fases iniciais do desenvolvimento, exatamente como descreve o enunciado.
- B)rastreabilidade;
Errada: rastreabilidade trata de acompanhar o histórico de requisitos, mudanças e artefatos, não de antecipar a segurança no ciclo de desenvolvimento.
- C)auditabilidade;
Errada: auditabilidade é a capacidade de verificar e auditar registros e processos, mas não nomeia a prática DevSecOps descrita.
- D)visibilidade;
Errada: visibilidade é importante para monitorar sistemas e riscos, porém não corresponde à ideia de incorporar segurança desde o início.
- E)bug bounty.
Errada: bug bounty é um programa de recompensa por descoberta de falhas, e não uma prática de integração contínua de segurança no desenvolvimento.
Gabarito: A
DevSecOps junta desenvolvimento, segurança e operações para que a proteção não fique para o fim da festa. A ideia central é inserir a segurança desde o começo do ciclo de vida do software, e isso é exatamente o que se chama de shift left: levar testes, controles e revisões de segurança para etapas mais iniciais do processo. Em vez de descobrir falhas só na homologação ou, pior, em produção, a equipe já pensa em segurança enquanto o código está nascendo. Na prática, isso significa automação de testes, análise de código, revisão de dependências e cultura de responsabilidade compartilhada. O time todo passa a enxergar segurança como parte do desenvolvimento, não como um freio colocado depois. É um conceito muito cobrado em provas quando a banca fala em "preocuparem-se com a segurança de forma proativa desde o início". Por isso, o gabarito é a alternativa A. Shift left é justamente deslocar a preocupação com segurança para a esquerda do fluxo de desenvolvimento, isto é, para as fases iniciais. As demais opções até podem aparecer em contextos de governança, monitoramento ou incentivo externo, mas não traduzem a prática descrita no enunciado. Se quiser guardar uma imagem mental: DevSecOps não espera o incêndio para comprar o extintor. Ele coloca o extintor perto do fogão desde o primeiro dia.