Página traduzida e verificada automaticamente. Prevalece a versão em inglês. Algumas partes ainda estão em inglês enquanto a tradução é verificada. Ver em inglês · Informar um erro de tradução
A prática, em profundidade.
Um termo do Speak to It™ diz o que algo é. Aqui, o mesmo tema é trabalhado a fundo: como é uma boa prática, o que exigir, como comprovar e onde a maioria das equipes erra.
289 escritos, mais 1405 encomendados. Leitura gratuita, porque um vocabulário profissional comum não deve depender da capacidade de pagamento.
Integridade do pipeline de build
Ambiente de produção: protegido. Pipeline de CI/CD: 12 integrações de terceiros. 7 executando com credenciais de produção. 1 com desvio de autenticação.
4 min read · 13 Sep 2026
A realidade da frequência de correções dos fornecedores
Política de correções: 30 dias. Tempo médio real de correção: 73 dias. Vulnerabilidades críticas não corrigidas: 4 de 14. Política: confirmada. Cumprimento: não medido.
4 min de leitura · 11 de set. de 2026
Segurança de registros de artefatos
Artefato: assinado. Registro: mutável. Acesso de escrita: 17 contas. Contas de ex-funcionários: 3 ainda ativas.
4 min read · 8 Sep 2026
Detecção de ataques à cadeia de suprimentos
Cobertura de SOC: excelente. Infraestrutura de detecção: focada em produção. Pipeline de build: não monitorado. Comprometimento: 8 meses sem detecção.
5 min read · 6 Sep 2026
Proteção de branches e contornos da revisão de código
Proteção de branch: configurada. Acesso de administrador: nunca revogado após a resposta a incidentes. Desvio: push direto para a main. Revisão de código: nenhuma. Chave fixa no código e travessia de diretório: introduzidas.
5 min read · 3 Sep 2026
A assinatura de código e seus limites
Assinatura: válida. Certificado: de uma CA reconhecida. Chave: comprometida 11 meses antes. Todas as versões desde então: potencialmente assinadas pelo atacante.
5 min de leitura · 1 de set. de 2026
Cadeia de suprimentos de imagens de contêiner
Código da aplicação: revisado. Imagem base do contêiner: 4 meses desatualizada. CVEs em bibliotecas do sistema: 17. RCEs críticas: 2.
4 min read · 29 Aug 2026
Ataques de confusão de dependências
Pacote interno: acme-internal-utils. Vaga de emprego: mencionou ferramentas internas. Registro público: atacante publicou o mesmo nome, com versão superior. Aplicações: 23 comprometidas.
4 min read · 27 Aug 2026
Fixação de versões de dependências versus versões flutuantes
Especificação de versão: >=2.0.0. Nova versão publicada na quinta-feira: 2.4.0. Testes: aprovados na quinta-feira. Produção: software diferente implantado na sexta-feira.
4 min read · 24 Aug 2026
Segurança dos ambientes de desenvolvimento dos fornecedores
Produção: protegida. Estações de trabalho dos desenvolvedores: administrador local. Credenciais em dotfiles. Contas pessoais do GitHub usadas no trabalho. Extensões maliciosas do VSCode instaladas.
4 min read · 22 Aug 2026
Programas de divulgação de segurança dos fornecedores
Programa de divulgação: publicado. Relatório: enviado. Recebimento confirmado: sim. Corrigido em 7 meses: não. Aviso prévio aos clientes: zero.
4 min read · 19 Aug 2026
O futuro da segurança da cadeia de suprimentos de software
Programa atual: atual para hoje. Código gerado por IA: já nos pipelines dos fornecedores. Pós-quântica: no horizonte. Aceleração regulatória: já chegou.
4 min read · 17 Aug 2026
Risco da cadeia de suprimentos de infraestrutura como código
IaC: revisado. Módulos Terraform de terceiros: 14 meses desatualizados. Grupo de segurança: portas de gerenciamento abertas para 0.0.0.0/0. Revisão de módulos: não realizada.
4 min read · 14 Aug 2026
Resposta a incidentes na cadeia de suprimentos
Programa de IR: maduro para incidentes de produção. Manual para a cadeia de suprimentos: nenhum. Identificação das versões afetadas: nenhum processo. Inventário de implantações nos clientes: não mantido.
4 min read · 12 Aug 2026
Risco de licenças de código aberto
Plataforma implantada: 18 meses. Componente AGPL: descoberto pelo jurídico. Exigência de divulgação: potencialmente aplicável ao código proprietário do fornecedor. Análise jurídica: 6 meses.
4 min read · 9 Aug 2026
Risco da cadeia de suprimentos em fusões e aquisições
Plataforma adquirida. Dependências de código aberto: 1,247. Vulnerabilidades críticas: 73. Sem solução devido a EOL: 14. Runtime: 3 versões principais defasado. Diligência: nenhuma avaliação da cadeia de suprimentos.
4 min read · 7 Aug 2026
Avaliação de maturidade da segurança da cadeia de suprimentos
SBOM: nível 3. SCA: nível 3. SLSA: nível 0 (sem conhecimento). Segurança do pipeline de build: nível 1. Monitoramento da cadeia de suprimentos: nível 0.
4 min read · 4 Aug 2026
NIST SP 800-161 para profissionais
NIST 800-161: revisado e considerado alinhado. Nível de implementação: não avaliado. Controles implementados: não verificados.
4 min read · 2 Aug 2026
Risco de contribuição em código aberto do fornecedor
Engenheiro: 3 anos de contribuições confiáveis. Situação funcional: desligado. PR: backdoor. Merge: aprovado com base na reputação. Fornecedores afetados: 14.
4 min read · 30 Jul 2026
Modelo de confiança dos registros de pacotes
Pacote: legítimo. Mantenedor: comprometido por engenharia social. Atualização de versão: correção de bug + coleta de credenciais. Downloads: 14,000 por semana.
4 min read · 28 Jul 2026
Segurança da cadeia de suprimentos em setores regulados
Requisito FDA SBOM: atendido. CVEs críticos no SBOM: 17. Documentação VEX: não fornecida. Atraso na análise regulatória: 4 meses.
4 min read · 25 Jul 2026
Builds reproduzíveis na prática
500 pacotes analisados. 312: reproduzíveis. 188: não reproduzíveis. O 188: o código-fonte não determina de forma única o binário.
4 min read · 23 Jul 2026
Quantificação de riscos da cadeia de suprimentos
Classificações de risco: alto, médio, alto. Exposição financeira: não calculada. Comunicação ao conselho: impossível. Justificativa de investimento: indisponível.
4 min read · 20 Jul 2026
Segurança dos runtimes de linguagens de programação
Plataforma: código da aplicação com correções em dia. Runtime: Python 3.9, EOL em outubro de 2025. CVEs críticos no runtime: 3. Correções futuras: nenhuma.
4 min read · 18 Jul 2026
Automação da lista de materiais de software
847 documentos SBOM. 7 formatos. 93% nunca processados. 41% com mais de 12 meses. Visibilidade da cadeia de suprimentos: nenhuma.
4 min read · 15 Jul 2026
Lista de materiais de software: além da exigência legal
SBOM: fornecido. Vulnerabilidades críticas listadas: 14. Idade do SBOM: 6 meses. Status das vulnerabilidades: não incluído. Regulador: não satisfeito.
4 min read · 13 Jul 2026
Lacunas da análise de composição de software
SCA configurado: branch principal, somente Python, somente IDs CVE. Sem cobertura: 7 repositórios, serviços em Go e Java, problemas fora do CVE.
4 min read · 10 Jul 2026
Risco de SDK de terceiros
SDK avaliado na integração. Fornecedor adquirido 18 meses depois. SDK atualizado: nova coleta de dados. Política de privacidade da empresa: não reflete a nova coleta.
4 min read · 8 Jul 2026
O que é SLSA e por que seus fornecedores deveriam se importar
Conformidade com SLSA: confirmada. Nível SLSA: 1. O que o nível 1 significa: o processo de build está documentado. O que não significa: o build é resistente a adulteração.
6 min de leitura · 5 de jul. de 2026
Cadeia de suprimentos de software para produtos SaaS
Software instalado: SBOM, SCA, verificação de proveniência. Plataforma SaaS: o mesmo risco de cadeia de suprimentos. Visibilidade: nenhuma.
4 min read · 3 Jul 2026
Segredos no código-fonte
Política: nenhuma credencial fixa no código. Histórico do git: chave AWS, credenciais de banco de dados, chave RSA, 31 meses. Status: tecnicamente ainda lá.
4 min read · 30 Jun 2026
O Sigstore e a revolução dos logs de transparência
Chave de assinatura: arquivo no servidor de build, 3 anos sem rotação. Sigstore: gratuito, certificados de curta duração, log de auditoria público. Conhecimento do fornecedor: nenhum.
4 min read · 28 Jun 2026
Verificação da proveniência de software
Assinatura: válida. Entrega: HTTPS. URL de download: legítima. Infraestrutura de distribuição: comprometida 3 semanas antes. Software: do atacante.
5 min read · 25 Jun 2026
As lições da SolarWinds ainda não aprendidas
SolarWinds: 2020. Lista de verificação de avaliação: as mesmas perguntas de 2019. Pipeline de build: nunca perguntado.
4 min read · 23 Jun 2026
Inteligência de ameaças para ataques à cadeia de suprimentos
Relatório de inteligência de ameaças: recebido. Ataques a CI/CD e SDK: descritos. Avaliações de fornecedores atualizadas: não. Dois fornecedores atacados: 6 meses depois.
4 min read · 20 Jun 2026
Risco de dependências transitivas
Dependências diretas: zero vulnerabilidades críticas. Dependência transitiva de profundidade 4: vulnerabilidade crítica. Escopo do SCA: dependências diretas. Profundidade 4: fora do escopo.
4 min read · 18 Jun 2026
Typosquatting em registros de pacotes
Pacote legítimo: lodash. Com nome falsificado: lodash-utils. Downloads: 43,000. Implantações em produção: 312. CVE: nenhum. Alerta de SCA: nenhum.
4 min read · 15 Jun 2026
Segurança dos mecanismos de atualização de software
Atualização automática: habilitada por padrão. Certificado: comprometido 3 meses antes. Atualizações aplicadas: potencialmente comprometidas. Empresa ciente: não.
4 min read · 13 Jun 2026
VEX, Vulnerability Exploitability eXchange
Achados de SCA: 312. Realmente exploráveis: 23. VEX disponível: não. Tempo de triagem: 3 semanas.
4 min read · 11 Jun 2026
Confiança zero para cadeias de suprimentos de software
Rede: confiança zero. Dependências: obtidas sem verificação do publicador. Agentes de build: credenciais amplas. Atualizações de software: identidade do servidor verificada apenas pelo certificado HTTPS.
5 min read · 10 Jun 2026
Segurança da cadeia de suprimentos de software
SLSA, SBOM e o risco oculto em cada linha de código em que você confia
6 min read · 9 Jun 2026
Acúmulo gradual de acessos de fornecedores ao longo do tempo
Acesso original: somente leitura de nomes e e-mails. Três anos depois: cinco categorias de dados. Quatro ampliações: zero revisões de TPRM.
4 min read · 8 Jun 2026
Automação do programa de TPRM e seus limites
Automation Deployed. Efficiency: Doubled. Assessment Quality: Same as the Unvalidated Questionnaire Responses It Automated.
4 min read · 7 Jun 2026
Reporte de TPRM ao conselho e à alta direção
Board Report: Assessments, Tiers, Findings, Heat Map. Board Question: Biggest Unmanaged Risk Right Now? Answer: Not in the Report.
4 min read · 6 Jun 2026
TPRM como viabilizador de negócios
Procurement: 2-Week Deadline. Standard Assessment: 4-6 Weeks. Risk-Tiered Assessment: 8 Days. Finding: Identified and Remediated Before Go-Live.
5 min read · 5 Jun 2026
Responsabilidade compartilhada do provedor de nuvem em TPRM
AWS: SOC 2, ISO 27001, FedRAMP. Enterprise Cloud Configuration: Public Buckets, Excessive Permissions, Logging Disabled.
4 min read · 4 Jun 2026
Monitoramento contínuo versus avaliação pontual
January Assessment: Accurate. March: Cloud Migration. June: Ransomware. September: CISO Departed. November: Still January's Data.
4 min read · 3 Jun 2026
Aplicação dos requisitos contratuais de segurança
Security Addendum: Comprehensive. Enforcement: Three Years, Never Exercised. Encryption at Rest: Not Implemented.
4 min read · 2 Jun 2026
Lacunas nos acordos de tratamento de dados com fornecedores
Data Sharing Agreement: Specifies Categories, Retention, Purpose. Model Training Use: Not Prohibited. Vendor Policy Change: Discovered Through Alert Service.
4 min read · 1 Jun 2026
Profundidade da diligência prévia versus nível do fornecedor
SOC 2: Confirmed Exists. Fourteen Controls Tested by Policy Review Only. Due Diligence: Checked the Box.
4 min read · 31 May 2026
Planejamento da estratégia de saída de fornecedores críticos
Acquisition Notice: 6 Months to Support End. Exit Strategy: None. Integration Inventory: None. Evaluated Alternatives: None. Timeline: 7 Years of Integration to Unwind.
4 min read · 30 May 2026
Saúde financeira do fornecedor como sinal de TPRM
Revenue Shock: 38% Customer Loss. Security Team: -40%. SOC 2: Deferred. Pentest: Cancelled. Last Assessment: 8 Months Ago, Low Risk.
4 min read · 29 May 2026
Cegueira ao risco de quartas partes
Fornecedor de ERP: avaliado minuciosamente. AWS, provedor de autenticação, fornecedor de IA, provedor de hospedagem: não avaliados por ninguém.
4 min read · 28 May 2026
O futuro do TPRM, da garantia à inteligência
847 Vendors Assessed. 2,341 Questionnaires. 1,847 Findings. Predictive Model: Not Built. Intelligence Waiting to Be Used.
5 min read · 27 May 2026
Risco geopolítico na seleção de fornecedores
Dados: hospedados na UE. Equipe de engenharia: jurisdição com lei de acesso governamental. Localização dos dados: protegida. Pessoal com acesso aos dados: não.
4 min read · 26 May 2026
Falhas na notificação de incidentes por fornecedores
Breach: Tuesday. Discovered: Wednesday. Contract: 72 Hours. Notified: Monday. News Article: Friday. Enterprise Found Out: Friday.
4 min read · 25 May 2026
Classificação por risco inerente
200-Question Questionnaire. Law Firm: Same as Cloud Platform. 180 Not-Applicables. 40 Missing Architecture Questions.
6 min read · 24 May 2026
TPRM em fusões e aquisições
Acquisition Closed. Integration: Day One. TPRM Assessment of Acquired Vendor Portfolio: 18 Months Later. 12 Unassessed Critical Vendors Connected to Enterprise Network.
4 min read · 23 May 2026
Complexidade de TPRM em prestadores de serviços gerenciados
MSP: Thoroughly Assessed. MSP Subprocessors: 23. Subprocessors with Production System Access: 6. Assessed by Enterprise: 0.
4 min read · 22 May 2026
Modelos de maturidade de programas de TPRM
Self-Assessment: Level 3. Regulator: Level 3 for Tiering and Documentation. Level 1 for Monitoring, Fourth-Party, and Exit Planning.
4 min read · 21 May 2026
O código aberto como risco de terceiros
Fornecedores comerciais: 847 avaliados. Bibliotecas de código aberto: 847 não avaliadas. Vulnerabilidade crítica: 14 aplicações afetadas. Inventário: nenhum.
3 min read · 20 May 2026
Risco da terceirização versus responsabilidade na terceirização
Activity Outsourced. Liability Limitation: $240K Contract Value. Regulatory Fine: $1.8M. Accountability: Not Outsourceable.
4 min read · 19 May 2026
Lacunas de responsabilidade e prestação de contas em TPRM
Critical Finding: Open 6 Months. TPRM Team: Business Owner's Responsibility. Business Owner: No Technical Authority. Vendor: No Formal Request Received.
4 min read · 18 May 2026
Métricas & KPIs do programa de TPRM
Assessments: 847. Questionnaires: 2,341. Completion Rate: 94%. Risk Reduction: Not Measured.
4 min read · 17 May 2026
Falhas no desenho de questionários de TPRM
187 Questions. 14 Days to Complete. 6 Hours to Review. 40 Questions Genuinely Informative. 147: Noise.
4 min read · 16 May 2026
Fadiga dos fornecedores com questionários de segurança
14 questionários no Q4. 340 horas. Equipe de segurança de 3 pessoas. 3 semanas perdidas. Os mesmos fatos: 14 formatos.
4 min read · 15 May 2026
Frequência de reavaliação por nível
Marketing Agency: Annual Reassessment. Cloud Data Platform: Also Annual Reassessment. Risk: Not Equivalent. Cadence: Identical.
4 min read · 14 May 2026
Mapeamento regulatório em TPRM
TPRM Programme: SOC 2 and NIST CSF Aligned. DORA Gap Analysis: 40% Not Covered. Regulation: Changed. Programme: Same.
4 min read · 13 May 2026
Confusão entre risco inerente e risco residual
Inherent Risk: High. Controls: Strong. Residual Risk: 2/10. Breach: In System Not Covered by the Controls Assessed.
4 min read · 12 May 2026
Testes de resiliência de fornecedores e exercícios de mesa
Vendor SLA: 99.9%. Manual Fallback: Documented. Tabletop Result: 4 Processes With No Fallback. Estimated Recovery: 11 Days.
4 min read · 11 May 2026
Cláusulas de direito de auditoria na prática
Direito de auditoria: negociado em todos os contratos críticos. Exercido: uma vez em quatro anos. Qualidade da auditoria: “Dificilmente resistiria a um escrutínio regulatório.”
4 min read · 10 May 2026
Governança da aceitação de riscos
Critical Finding: Escalated. Business Owner: Signed Acceptance. Finding: Closed. Risk: Unmanaged for Two Years. Outage: 36 Hours.
4 min read · 9 May 2026
Alinhamento do apetite a risco de fornecedores
Achado: sem MFA nas contas de administrador. Custo da correção: $47 mil. Responsável de negócio: risco aceito. Estrutura de risco: proíbe esta aceitação.
4 min read · 8 May 2026
Precisão do registro de riscos de fornecedores
Registro de riscos: 312 entradas. Última revisão completa: há 8 meses. Fornecedores desligados ainda listados. Novos fornecedores ausentes. Três violações não atualizadas.
4 min read · 7 May 2026
Postura de segurança de SaaS versus avaliação tradicional de fornecedores
SOC 2: confirmado. Varredura SSPM: 312 contas inativas, 23 com privilégios excessivos, 14 tokens de API sem rotação. Mesmo fornecedor. Outro retrato.
3 min read · 6 May 2026
Visibilidade dos suboperadores
DPA Subprocessors: 12. Production Subprocessors: 18. The Six Gap: Background Check API, Fraud Detection, Cloud Logging.
4 min read · 5 May 2026
Continuidade de negócios & resiliência do fornecedor
Uptime SLA: 99.9%. BCP Tested: Never Asked. Backup: Same Region. Recovery Time: 11 Days. SLA: 4 Hours.
4 min read · 4 May 2026
Risco de concentração em fornecedores
43% Revenue through One Vendor. 67% Infrastructure: One Provider. 81% Support: One Platform. Each Green. Together: Existential.
4 min read · 3 May 2026
Completude do inventário de fornecedores
TPRM Inventory: 847 Vendors. Procurement Master: 2,341. The Gap: 1,494 Vendors Nobody Was Managing.
7 min read · 2 May 2026
Risco no desligamento de fornecedores
Contract: Closed. API Keys: Active. User Accounts: Two Remaining. Data Extract: Still at Vendor. IP Allowlist: Never Removed.
4 min read · 1 May 2026
Barreiras de segurança na homologação de fornecedores
Contract Signed Monday. Production Data Access: Sunday. TPRM Notified: Previous Friday. Assessment: Three Weeks Later.
4 min read · 30 Apr 2026