Compliance baseado em documento tem data de validade. O documento descreve a política como deveria ser. A operação evolui sem atualizar o documento. Na próxima auditoria, a diferença entre o que está escrito e o que realmente roda cria exposição regulatória que ninguém mapeou. Compliance que existe apenas no papel não protege. Cria ilusão de proteção com custo real de manutenção e risco regulatório genuíno.
Subcapability 03 de 04 · Security Engineering
Compliance as Code
Open Policy Agent e NIST 800-53 como código que transformam controles regulatórios em propriedade verificável continuamente e eliminam a planilha de véspera de auditoria.
O que está em jogo
A auditoria de LGPD encontrou controles de acesso que não estavam documentados no sistema. A lacuna existia há meses. A exposição regulatória cresceu em silêncio enquanto o documento de política descrevia controles que a operação não implementava de fato.
O que é, na prática
Como atuamos
Open Policy Agent como motor de política
Implementamos Open Policy Agent com linguagem Rego para expressar cada controle regulatório como regra verificável automaticamente. A política que hoje existe em planilha vira código versionado que roda em cada commit, em cada mudança de configuração de infraestrutura e em cada deploy.
Controles NIST 800-53 como código
Mapeamos os controles aplicáveis do NIST 800-53 e dos frameworks de conformidade relevantes como LGPD, ISO 27001 e SOC 2 em asserções verificáveis. Cada controle tem teste associado. Desvio é detectado no momento em que acontece, não na próxima janela de auditoria.
Admission control em Kubernetes
Configuramos políticas de admissão que impedem workloads não conformes de entrar no cluster: containers rodando como root, imagens sem scan, ausência de limits de recurso e violações de network policy são bloqueadas automaticamente antes de qualquer deployment.
Evidência automatizada para auditoria
Estruturamos geração automática de evidências de conformidade em formato OSCAL, tornando o pacote de auditoria um artefato contínuo em vez de trabalho de sprint. O auditor recebe evidência gerada automaticamente com rastreabilidade completa para cada controle.
Gestão de identidade e acesso com princípio do menor privilégio
Implementamos controles de IAM que verificam continuamente que cada identidade tem apenas o acesso estritamente necessário para sua função, com detecção de privilégio excessivo e processo de revisão periódica automatizado.
Ganhos mensuráveis
O que muda no resultado quando essa subcapacidade amadurece.
Percentual de controles regulatórios auditáveis automaticamente
Cada controle transcrito para código sai da dependência de evidência manual e de verificação periódica. O percentual de controles verificados continuamente é o indicador que separa conformidade real de conformidade declarada.
Tempo médio de detecção de desvio de política
Com verificação contínua, desvio de política é detectado no momento em que ocorre, não na próxima auditoria. A diferença entre horas e meses de exposição regulatória é o que Compliance as Code entrega como retorno primário.
Custo do sprint de pré-auditoria eliminado
Sem sprint de coleta manual de evidências antes de cada certificação, a capacidade que o time gastava em produção de planilha volta ao roadmap. Para empresas com múltiplas certificações anuais, o ganho de capacidade é substancial.
Cobertura de evidência automatizada por auditoria
Evidência gerada automaticamente em formato OSCAL cobre mais controles com mais rigor do que coleta manual. Auditoria com evidência automatizada encontra menos surpresas porque a diferença entre documento e operação foi eliminada continuamente.
Perguntas frequentes
O que é Open Policy Agent e como se conecta a conformidade regulatória?
Open Policy Agent, graduado pela CNCF, é um motor de política de propósito geral que avalia decisões de autorização em qualquer parte da stack: infrastructure as code, admission control de Kubernetes, APIs e pipelines de CI/CD. A linguagem Rego permite expressar qualquer controle regulatório como regra verificável. O resultado é que cada controle tem um teste associado que roda continuamente, tornando a conformidade verificável, não declarada.
Compliance as Code se aplica a LGPD?
LGPD exige controles específicos sobre tratamento de dado pessoal: base legal documentada, acesso restrito ao necessário, notificação de incidente dentro do prazo e capacidade de atender direitos do titular. Cada um desses requisitos pode ser expresso como política verificável: acesso a datasets com dado pessoal controlado por política OPA, alertas automáticos quando dado pessoal é acessado fora do padrão esperado, inventário contínuo de onde dado pessoal está armazenado e tratado.
Como convencer o board de que conformidade contínua tem ROI mensurável?
Pelo custo evitado em três categorias. Multa regulatória por violação, que em LGPD pode chegar a 2% do faturamento. Sprint de pré-auditoria, que em empresas com múltiplas certificações consome semanas de capacidade de engenharia por ano. E custo de incidente associado a controle que o documento descrevia mas a operação não implementava. Os três têm número real. Conformidade contínua reduz a probabilidade e o custo dos três.
Compliance as Code substitui auditoria externa?
Compliance as Code automatiza a verificação contínua de controles e a coleta de evidências. Auditoria externa valida que o processo de verificação é adequado e que os controles escolhidos endereçam os requisitos regulatórios. Os dois são complementares. Organizações com Compliance as Code chegam à auditoria com evidência gerada automaticamente, o que reduz o tempo e o custo da auditoria sem eliminar sua necessidade.
Por onde começar quando o backlog de conformidade é extenso?
Pela priorização por risco regulatório e por impacto operacional. Controles que cobrem dado pessoal e dado de cartão de crédito têm consequência de violação maior. Controles que dependem de processo manual propenso a erro têm maior probabilidade de desvio. A interseção dos dois critérios define os primeiros controles a automatizar, com retorno de risco imediato e evidência de avanço mensurável para o board.
Outras subcapabilities desta capability
Shift-Left Security
SAST, DAST e SCA integrados ao pipeline de CI que reduzem custo de correção por ordem de magnitude e eliminam o pentest anual como única linha de defesa.
Threat Modeling
STRIDE e attack trees no design que identificam ameaças antes de qualquer código, eliminam o redesign forçado por vulnerabilidade em produção e incorporam risco ao raciocínio arquitetural.
Security Champions Program
Rede de Champions estruturada pelo OWASP SAMM que distribui capacidade de segurança pelos squads, elimina o gargalo central e multiplica proteção sem multiplicar headcount.
Quer clareza sobre onde investir primeiro?
Diagnóstico completo de capacidades de tecnologia com roadmap de evolução conectado ao resultado financeiro.