Segurança Digital
BOLA na Lovable
A fronteira entre privacidade percebida e privacidade efetiva
A vulnerabilidade BOLA exposta na Lovable colocou código, credenciais e chats com IA ao alcance de qualquer chamada de API. O caso revela a assimetria entre a privacidade sugerida pela interface e a entregue pelo sistema.
Leia maisGestão de acessos e privilégios
O princípio do menor privilégio aplicado do IAM ao repositório
O princípio do menor privilégio só funciona quando atravessa todas as camadas, do IAM ao repositório. Quando aplicado em uma e ignorado em outra, o controle vira encenação e a superfície de ataque permanece intacta.
Leia maisAuditoria de segurança em código gerado por IA
Novos riscos, velhas vulnerabilidades
Código gerado por assistentes de IA não introduz classes inéditas de vulnerabilidade. Reintroduz as antigas em velocidade maior, e a auditoria precisa tratar o gerador como parte da cadeia de suprimentos, não como autor confiável.
Leia maisZero Trust para quem não é enterprise
Implementação pragmática em times enxutos
Zero Trust descreve um modelo arquitetural, não um produto. Times enxutos conseguem implementar os princípios essenciais reaproveitando infraestrutura de identidade e rede que já possuem, desde que tratem o modelo como decisão de design, não como licença.
Leia maisLGPD e ISO 27001
Onde se complementam e onde divergem na prática
LGPD e ISO 27001 operam em camadas distintas e com objetos de proteção distintos. Entender onde os dois se sobrepõem e onde seguem lógicas próprias evita o erro de tratar certificação como conformidade legal.
Leia maisSegurança como cultura, não como checklist
Integrando controles ao dia a dia do desenvolvimento
Programas de segurança falham quando existem como evento separado do desenvolvimento. A integração aos fluxos de trabalho define se os controles viram comportamento ou permanecem documentação.
Leia maisIncident response para times pequenos
Playbooks práticos que funcionam com 5 pessoas
Times pequenos não têm SOC, não têm CISO em plantão e não têm turno de madrugada. Ainda assim precisam responder a incidentes com prazos regulatórios. O que define a viabilidade é o desenho do playbook, não o tamanho da equipe.
Leia maisSupply chain attacks em dependências open-source
Auditando o que você não escreveu
Dependências open-source compõem a maior parte do código que roda em produção, mas raramente passam pelo mesmo rigor de revisão que o código interno. O caso XZ e a escalada de pacotes maliciosos em npm expõem o custo dessa assimetria.
Leia maisO elo humano
Por que 90% dos incidentes começam com um clique e o que fazer a respeito
O elemento humano aparece em 60% dos breaches segundo o DBIR 2025. Controles técnicos mitigam consequência, mas o vetor de entrada segue sendo comportamental. Como endereçar isso sem cair em security theater.
Leia mais