DevSecOps no setor público: auditoria automática em vez de planilha de mudanças

Existe uma cena que se repete em todo órgão público na véspera de auditoria: equipes inteiras param o que estão fazendo para reconstruir, à mão, a história das mudanças em produção. Quem aprovou o quê. Quando subiu. Qual chamado justificou. E-mails são garimpados, planilhas de controle de mudança são completadas de memória, evidências são montadas retroativamente. Todo mundo sabe que o retrato final é aproximado — inclusive o auditor.

Do outro lado, a mesma instituição sofre pressão oposta: entregar serviços digitais em ritmo de mercado. O cidadão compara o portal do órgão com o aplicativo do banco, e a diretoria quer saber por que a funcionalidade prometida leva seis meses. Entre o rigor do controle e a velocidade da entrega, a maioria escolhe sofrer dos dois lados.

A boa notícia: essa escolha é falsa. E a saída tem nome — DevSecOps.

O problema real: controle manual não controla

O controle de mudanças tradicional — formulários, comitês semanais, planilhas — nasceu para dar segurança. Na prática, entrega o pior dos mundos:

• Lentidão sem segurança real — a mudança espera dias pelo comitê, mas a "evidência" que a documenta é preenchida por humanos, sujeita a esquecimento e pressa;
• Janelas gigantes, risco gigante — como cada aprovação custa caro, as equipes acumulam alterações para "aproveitar a janela": entregas trimestrais enormes, onde qualquer erro é difícil de isolar;
• Auditoria arqueológica — quando o órgão de controle pergunta "o que mudou no sistema X em maio?", a resposta é um projeto de duas semanas, não uma consulta;
• Segurança no fim da esteira — a verificação de vulnerabilidades acontece (quando acontece) na véspera da entrega, quando corrigir é mais caro — e pular é tentador.

Como funciona na prática

Numa esteira DevSecOps madura — o território de plataformas como a Harness —, o caminho de toda mudança é o mesmo, sem exceção:

• O código entra na esteira — identificado por autor, revisão e chamado de origem, automaticamente;
• Verificações rodam sem pedir licença — testes, análise de vulnerabilidades, checagem de dependências: embutidas no fluxo, não agendadas para depois;
• Políticas do órgão são aplicadas por código — quem pode aprovar produção, quais janelas valem, que evidências são obrigatórias: regras codificadas que a esteira executa e registra. Segregação de funções deixa de depender de confiança;
• A implantação é gradual e reversível — a nova versão sobe para uma fração dos usuários, a plataforma compara o comportamento com o normal e, ao menor sinal de anomalia, reverte sozinha;
• Tudo vira registro pesquisável — autor, aprovador, horário, resultado de cada verificação, resultado da implantação. A pergunta do auditor vira consulta de minutos.

O ganho que convence o controle interno

O argumento decisivo para o setor público não é velocidade — é qualidade da evidência. Planilha preenchida por humano é declaração; registro gerado pela esteira é fato. Para órgãos que respondem a auditorias internas, tribunais de contas e requisitos de conformidade, a diferença é estrutural:

• Evidências completas por construção — não existe mudança fora da trilha, porque fora da esteira não se chega em produção;
• Resposta a incidentes com linha do tempo exata — casando com a observabilidade que mostra o efeito de cada mudança;
• Menos dependência de heróis — o conhecimento do "como se faz deploy" sai da cabeça de duas pessoas e vira processo executável.

Por onde começar (sem parar o órgão)

• 1. Escolha um sistema piloto relevante — importante o bastante para provar valor, não o mais crítico do órgão;
• 2. Automatize a esteira dele de ponta a ponta — build, testes, verificação de segurança, implantação gradual e reversão;
• 3. Codifique as políticas existentes — as regras de aprovação que hoje vivem em portaria e planilha viram configuração aplicada automaticamente;
• 4. Meça o antes e depois — tempo de entrega, incidentes por implantação e horas gastas em evidência de auditoria: os três números que justificam a expansão;
• 5. Expanda por ondas — com padrões e templates saídos do piloto, cada sistema seguinte entra mais rápido que o anterior.

O resultado final é contraintuitivo para quem vive o modelo antigo: entregar toda semana é mais seguro que entregar por trimestre — porque cada entrega é pequena, verificada, reversível e documentada. Velocidade e controle deixam de ser opostos. Viram o mesmo investimento.

Perguntas frequentes

Guardian Tec — integradora de soluções de tecnologia do Grupo Guardian, Brasília-DF. Leia também o guia completo de Harness e DevSecOps. Harness é marca da Harness Inc.