CASE: SPRINT DE DEVOPS & QUALITY ASSURANCE - IMPLEMENTANDO
SEGURANÇA E QUALIDADE EM UMA FINTECH
Proposta de aula teste para o projeto 10 - Esteira ágil de produção de software
Cenário:
O projeto baseia-se na premissa de que a garantia de qualidade de software e a segurança
em pipelines de CI/CD são importantes para o sucesso de aplicações modernas,
especialmente em contextos de startups fintech que lidam com dados sensíveis e
transações financeiras. A FinPay, uma startup de pagamentos digitais em fase de
crescimento, enfrenta desafios críticos: vazamentos recentes de credenciais em repositórios
públicos, ausência de testes automatizados consistentes, e violações das características de
qualidade definidas pela ISO 25010 (especialmente Security, Reliability e Maintainability).
Pretende-se estruturar um pipeline completo de DevOps que garanta:
(1) proteção contra vazamento de credenciais através de ferramentas de secret scanning e
vault management;
(2) execução automatizada de testes em múltiplas camadas (unitários, integração,
segurança, performance); e
(3) monitoramento contínuo da qualidade com base nos critérios da ISO 25010. O projeto
considera o uso de ferramentas modernas como GitHub Actions/GitLab CI, SonarQube,
OWASP ZAP, Trivy, HashiCorp Vault, e frameworks de teste automatizado, garantindo que
cada deployment atenda aos padrões de qualidade e segurança estabelecidos.
Proposta:
Diante do cenário acima, você precisará elaborar uma aula prática (30 minutos) para
conduzir os alunos pelo processo de implementação de um pipeline DevOps seguro e
com garantia de qualidade, devendo conter (ou parte deles) os seguintes itens:
● Pipeline de CI/CD com Quality Gates
● Secret Scanning e Credential Protection
● Implementação de GitGuardian/TruffleHog para detecção de credenciais
● Configuração de HashiCorp Vault ou AWS Secrets Manager
● Rotação automática de secrets e políticas de acesso
● Estratégia de Testes Automatizados (ISO 25010: Reliability, Maintainability)
● Quality Gates baseados em ISO 25010
● Security: análise de vulnerabilidades (Trivy, Snyk)
● Maintainability: análise estática de código (SonarQube)
● Reliability: testes de resiliência e fault injection (Chaos Engineering básico)
● Performance Efficiency: métricas de tempo de resposta e uso de recursos
Premissas:
O contexto da aula acontece em uma sprint planning
A sprint tem timebox de 15 dias
A turma é formada por 5 grupos com 8 integrantes cada
É permitido o uso de qualquer ferramenta para suporte à aula (ferramentas open-source ou
cloud gratuitas)
É permitido o uso de metodologias ativas para suporte à aula (Problem-Based Learning,
Pair Programming, Code Review colaborativo)
Cada grupo deverá simular uma squad DevOps com papéis definidos: DevOps Engineer,
Security Engineer, QA Engineer, Developer, SRE
Em relação ao entregável proposto:
A sprint planning deverá planejar a elaboração de um relatório técnico-executivo que
contemple:
(1) o mapeamento detalhado entre as características de qualidade da ISO 25010 (Security,
Reliability, Maintainability) e as práticas DevOps implementadas, com matriz de
rastreabilidade ligando características a ferramentas, métricas e quality gates;
(2) análise quantitativa do risco e impacto financeiro de vazamento de credenciais, incluindo
cálculo de ROI da implementação de controles preventivos;
(3) definição de KPIs e thresholds baseados em ISO 25010 e DORA metrics;
(4) simulação de cenários críticos (credenciais hardcoded, vulnerabilidades, degradação de
performance) demonstrando como o pipeline bloqueia problemas;
(5) justificativa técnica da arquitetura do pipeline CI/CD, incluindo escolha de ferramentas e
estratégia de branching; e
(6) documentação de compliance com geração automática de evidências para auditoria e
rastreabilidade completa do ciclo de vida do software.