Uma estratégia madura de AppSec precisa equilibrar segurança, automação e produtividade dos desenvolvedores. Para a Pismo, esse equilíbrio foi decisivo na escolha de uma solução capaz de apoiar múltiplas linguagens, integrar-se aos fluxos existentes e reduzir risco sem criar fricção para os times técnicos.
A equipe de DevSecOps da Pismo partiu de uma lista clara de requisitos obrigatórios. A solução escolhida precisava oferecer suporte a várias linguagens de desenvolvimento, integração bidirecional com ferramentas de rastreamento de bugs, criação e fechamento automático de tíquetes, identificação de falsos positivos recorrentes e capacidade de automatizar processos já utilizados pelos desenvolvedores.
O objetivo era direto: fortalecer a segurança de aplicações sem afastar a segurança da rotina de quem constrói software.
“Sempre pensamos em nossos desenvolvedores ao buscar novas ferramentas. Queríamos que a transição fosse suave e transparente e não queríamos que eles se preocupassem em lidar com tíquetes ou controlar cartões. Procuramos especificamente ferramentas que tornassem o trabalho de nossos desenvolvedores mais fácil e produtivo.”
Aguiar, PismoO desafio: segurança forte sem atrito para desenvolvimento
A Pismo buscava uma solução que fosse robusta para o time de segurança e, ao mesmo tempo, amigável para os desenvolvedores.
Esse ponto é importante em AppSec. Quando a ferramenta cria atrito, exige processos paralelos ou gera alertas difíceis de tratar, a adoção tende a perder força. Segurança precisa estar integrada ao ciclo de desenvolvimento, com automação suficiente para orientar correções e reduzir o esforço manual.
Além disso, a ferramenta precisava permitir políticas flexíveis para interromper a compilação caso vulnerabilidades de alto ou médio risco fossem identificadas. Na prática, isso criaria uma barreira de controle para impedir que riscos relevantes fossem incorporados ao código.
A Checkmarx atendeu a esses requisitos e se destacou no comparativo da Pismo.
Checkmarx SAST: análise de código com velocidade, precisão e escala
A primeira solução da Checkmarx adotada pela Pismo foi o Static Application Security Testing, SAST.
O Checkmarx SAST é uma solução de teste de segurança de aplicações voltada à análise de código-fonte. Sua função é identificar erros de segurança que podem gerar vulnerabilidades no código, com análise automatizada, flexível e precisa.
Para a Pismo, o SAST trouxe uma base importante de visibilidade e priorização. A solução permite executar varreduras completas e incrementais conforme a necessidade, além de gerar relatórios abrangentes para orientar os desenvolvedores sobre o que precisa ser corrigido primeiro.
Esse ponto é essencial para programas de AppSec em escala. Não basta encontrar vulnerabilidades. É preciso indicar criticidade, reduzir ruído e ajudar os times a priorizar correções de acordo com o risco.
O Checkmarx SAST também oferece suporte a uma ampla lista de linguagens de programação e frameworks, um requisito importante para ambientes de desenvolvimento mais diversos.
Checkmarx SCA: segurança para código open source e dependências
Além do SAST, a Pismo também investiu no Checkmarx Software Composition Analysis, SCA, integrado ao SAST.
O uso do SCA permitiu ampliar a cobertura de segurança para componentes open source e código de terceiros. Com isso, a Pismo passou a identificar vulnerabilidades não apenas nas bibliotecas usadas diretamente pelos desenvolvedores, mas também em dependências chamadas por esses componentes.
Esse tipo de visibilidade é cada vez mais relevante em ambientes modernos. Aplicações dependem de pacotes, bibliotecas e componentes externos, e o risco pode estar em camadas que nem sempre aparecem de forma evidente para o time de desenvolvimento.
Com o Checkmarx SCA, a Pismo ganhou mais capacidade de avaliar a composição do software, entender riscos associados a dependências e tratar vulnerabilidades de forma mais estruturada.
Integração aos processos e mudança na cultura de segurança
Desde a implementação das ferramentas, a Pismo observou uma mudança importante na cultura de segurança.
Os desenvolvedores passaram a usar ativamente o Checkmarx SAST e o Checkmarx SCA. Segundo Aguiar, um dos fatores que contribuiu para essa adoção foi o nível de integração das ferramentas aos processos já existentes.
“Os desenvolvedores têm usado ativamente Checkmarx SAST e SCA.”
Aguiar, Pismo
Quando AppSec funciona dentro do fluxo do desenvolvedor, a segurança deixa de ser percebida como uma etapa externa. Ela passa a fazer parte do ciclo natural de desenvolvimento, com mais clareza sobre o que corrigir, quando corrigir e quais riscos não podem avançar.
Políticas para bloquear riscos altos e médios
A Pismo também estruturou políticas para o Checkmarx SAST. As equipes passaram a corrigir problemas de baixo risco, enquanto a plataforma bloqueia a incorporação de novos problemas de alto ou médio risco ao código.
“As equipes corrigem apenas problemas considerados de baixo risco, e o Checkmarx bloqueia que novos problemas de alto ou médio risco sejam incorporados ao código. É uma sensação ótima ver isto acontecendo.”
Aguiar, Pismo
Esse modelo ajuda a criar um padrão mais claro de governança. Vulnerabilidades de maior criticidade não seguem adiante sem tratamento, enquanto o time mantém fluidez para lidar com riscos menores dentro de uma lógica controlada.
Para empresas que precisam escalar AppSec, essa combinação de política, automação e integração ao desenvolvimento é um passo importante para reduzir exposição sem paralisar a entrega.
