Maturidade em AppSec não nasce da implantação isolada de uma ferramenta. Ela depende de uma jornada contínua, com priorização técnica, integração aos fluxos de desenvolvimento, automação operacional e acompanhamento consultivo.

Foi esse o caminho seguido por uma plataforma do setor de comunicação digital que chegou à Nova8 com um desafio claro: fortalecer a segurança de suas aplicações em um ambiente de alta complexidade, com múltiplos canais de atendimento, integrações constantes e necessidade de mais visibilidade sobre riscos em código.

A resposta veio por meio de uma evolução gradual com Checkmarx One, conduzida com apoio da Nova8 e sustentada por dois pilares: consultoria especializada e Centro de Excelência.

O desafio: proteger aplicações em um ambiente digital em constante mudança

O cliente retratado neste case é uma plataforma de comunicação digital que permite que empresas conversem com seus próprios clientes por canais como WhatsApp, Instagram e chatbots proprietários.

Esse tipo de operação exige velocidade. Novos produtos surgem, sistemas entram em manutenção, integrações mudam, prioridades de negócio evoluem. Em paralelo, a segurança precisa acompanhar esse ritmo sem travar o desenvolvimento.

Quando iniciou a jornada com a Nova8, em outubro de 2022, a empresa buscava uma abordagem de AppSec mais estruturada, capaz de antecipar riscos desde o início do desenvolvimento e fortalecer a qualidade das entregas antes da chegada dos sistemas à produção.

O objetivo não era apenas executar scans. Era construir uma base de governança para que a segurança de aplicações acompanhasse o ciclo real de desenvolvimento.

O primeiro passo: implantação e adaptação do Checkmarx One

A implantação do Checkmarx One foi o ponto de partida da jornada.

Nos primeiros meses, o trabalho se concentrou em configurar a solução no ambiente do cliente, compreender os fluxos internos e preparar a plataforma para acompanhar a dinâmica dos times de desenvolvimento.

Esse cuidado inicial foi essencial. Em AppSec, uma implantação efetiva precisa considerar contexto, criticidade dos projetos, organização dos repositórios, modelo de trabalho dos squads e integrações já utilizadas pela empresa.

A tecnologia entrega valor quando se encaixa na operação. Por isso, o papel da Nova8 foi adaptar a solução ao cenário do cliente, criando as condições para que o uso da plataforma evoluísse junto com a maturidade da organização.

De 2023 a 2025: uma jornada contínua de evolução em AppSec

A partir do início de 2023, o trabalho avançou para um mapeamento mais detalhado dos projetos prioritários. A empresa passou a identificar quais aplicações exigiam maior visibilidade, quais sistemas tinham mais impacto operacional e quais frentes deveriam receber atenção imediata.

Esse mapa não ficou parado.

Em organizações digitais, o que é crítico em um ano pode mudar no ciclo seguinte. Um projeto pode deixar de ser prioridade, entrar em manutenção ou ser substituído por uma nova frente de produto. Ao mesmo tempo, novas aplicações podem se tornar mais relevantes para o negócio.

A Nova8 acompanhou essa evolução com uma abordagem consultiva, revisando prioridades técnicas, ajustando o roadmap e orientando o cliente sobre como extrair mais valor da plataforma.

Entre 2023 e meados de 2025, a empresa avançou em quatro frentes importantes:

• Migração completa para o Checkmarx One.
• Estabilização do ambiente.
• Estruturação de um roadmap contínuo.
• Evolução real da maturidade em AppSec.

O ganho principal foi sair de uma lógica pontual de segurança para uma operação mais consistente, com cadência, visão de prioridade e integração aos processos internos.

As integrações que mudaram a operação

Com a maturidade crescendo, o cliente iniciou um novo ciclo de revisão estratégica. A proposta era identificar quais projetos deveriam ser tratados como “joias da coroa” naquele momento e, a partir disso, aproximar ainda mais a segurança do fluxo real de trabalho.

Esse movimento abriu caminho para três integrações essenciais:

Azure Boards

A integração com Azure Boards automatizou o fluxo de vulnerabilidades. Antes, o processo dependia de consultas diretas ao Checkmarx ou de controles manuais, muitas vezes apoiados por planilhas e repasses do time de segurança.

Com a integração, as vulnerabilidades identificadas passaram a gerar tarefas diretamente no Azure Boards. O desenvolvedor recebe a orientação no ambiente em que já trabalha, reduzindo retrabalho e acelerando o ciclo entre detecção, correção e revalidação.

Azure AD

A integração com Azure AD ajudou a consolidar o controle de acesso, fortalecendo a governança sobre quem acessa a plataforma e como esse acesso é administrado.

Em programas de AppSec mais maduros, identidade e controle de acesso são partes importantes da operação. Eles ajudam a reduzir riscos, organizar responsabilidades e sustentar uma gestão mais previsível da plataforma.

GitHub Actions

A integração com GitHub Actions aproximou o Checkmarx One dos pipelines dos projetos mais críticos da operação.

Esse ponto é fundamental para uma estratégia shift left bem aplicada. A segurança deixa de ser uma etapa isolada e passa a fazer parte do fluxo de desenvolvimento, com mais visibilidade para os times técnicos e mais capacidade de agir antes que riscos avancem sem tratamento adequado.

Mais visibilidade, menos processo manual

A automação via Azure Boards trouxe um ganho operacional claro: a redução do esforço manual no tratamento de vulnerabilidades.

Antes, o fluxo exigia consultas, consolidações e repasses manuais. Agora, a operação passou a contar com automação ponta a ponta na esteira, reduzindo o tempo gasto entre identificação, correção e revalidação.

Com a evolução do uso do Checkmarx One, o cliente passou a operar com uma visão mais consolidada sobre:

• Projetos vulneráveis.
• Vulnerabilidades por criticidade.
• Status de correção.
• Informações reunidas em um único painel.

Esse tipo de visibilidade muda a conversa entre segurança, engenharia e gestão. O foco deixa de ser apenas “quantas vulnerabilidades existem” e passa a ser “quais riscos precisam ser tratados primeiro, por quem e em qual fluxo”.

Ampliação de cobertura no Checkmarx Cloud

Além dos projetos inicialmente priorizados, o cliente ampliou o uso da solução ao incorporar outros sistemas ao Checkmarx Cloud.

Essa expansão aumentou a abrangência da monitoria e da proteção, permitindo que mais frentes do parque de aplicações fossem acompanhadas dentro da mesma lógica de governança.

Para empresas com muitas aplicações, esse avanço é importante porque evita ilhas de segurança. Quanto mais fragmentada a visibilidade, maior a dificuldade de priorizar risco, coordenar correções e sustentar uma visão executiva da postura de AppSec.

O papel da Nova8 na jornada

O resultado não veio apenas da tecnologia. Ele foi construído pela combinação entre Checkmarx One, consultoria especializada e apoio contínuo do Centro de Excelência da Nova8.

Consultoria Nova8

A consultoria da Nova8 foi responsável por guiar o roadmap, entender o momento da empresa, estruturar prioridades, conduzir treinamentos e atuar nos ciclos mais críticos da jornada.

Esse papel consultivo ajudou o cliente a revisar projetos sensíveis, ajustar a estratégia conforme a operação evoluía e manter a plataforma conectada às necessidades reais do negócio.

Centro de Excelência

O Centro de Excelência da Nova8 atuou com suporte técnico contínuo, estabilização da plataforma, apoio em incidentes e alinhamento com o fabricante.

Esse diferencial é especialmente relevante em projetos de AppSec, porque a adoção sustentável depende de muito mais do que acesso à solução. Ela exige acompanhamento, capacitação, governança e capacidade de traduzir recursos técnicos em valor operacional.

O resultado: uma operação mais madura, automatizada e preparada para evoluir

Ao longo da jornada, o cliente saiu de uma necessidade inicial de fortalecer sua segurança em AppSec para uma operação mais madura, automatizada e orientada por visibilidade.

Na prática, a empresa conquistou mais autonomia, mais segurança e uma estrutura mais sólida para seguir evoluindo. O desfecho natural foi a renovação da parceria e a continuidade da jornada.

Esse case mostra uma lição importante: maturidade em AppSec é construída passo a passo. Não depende apenas de escolher uma tecnologia robusta, mas de implantá-la corretamente, integrá-la à rotina dos times e evoluir o uso conforme o negócio muda.

O que este case ensina sobre maturidade em AppSec

A experiência reforça alguns critérios importantes para empresas que querem estruturar ou evoluir seus programas de segurança de aplicações:

1. AppSec precisa acompanhar o ritmo do negócio

Projetos mudam, prioridades mudam e sistemas críticos podem variar ao longo do tempo. A estratégia de AppSec precisa ser revisada continuamente para refletir o momento real da operação.

2. Automação reduz atrito e acelera resposta

Quando vulnerabilidades chegam diretamente ao fluxo do desenvolvedor, a correção se torna mais natural, rastreável e eficiente. Isso reduz retrabalho e melhora a colaboração entre segurança e engenharia.

3. Visibilidade precisa virar decisão

Dashboards e relatórios só geram valor quando ajudam a priorizar. A maturidade em AppSec depende de transformar achados técnicos em ações claras, com responsáveis, criticidade e status de tratamento.

4. Tecnologia precisa de adoção orientada

O Checkmarx One oferece a base tecnológica para AppSec corporativo, governança de SDLC, testes de segurança e automação. A Nova8 agrega valor ao orientar a adoção, ajustar a jornada ao contexto do cliente e sustentar a evolução por meio de consultoria e Centro de Excelência.

O aprendizado principal: AppSec evolui com continuidade, contexto e integração

Adotar uma tecnologia é apenas o começo. O verdadeiro valor aparece quando ela é implantada, evoluída e integrada à realidade de cada empresa.

Neste case, a combinação entre Checkmarx One e a atuação consultiva da Nova8 ajudou uma empresa do setor de comunicação digital a transformar sua abordagem de AppSec. O resultado foi uma operação mais visível, automatizada, eficiente e preparada para novos ciclos de maturidade.

Para organizações que precisam proteger aplicações modernas sem perder velocidade, a mensagem é clara: AppSec deve estar no fluxo de desenvolvimento, mas também precisa estar conectada à governança, à priorização e ao impacto real no negócio.