Desenvolvimento
Devs e tech leads que querem segurança desde o código: OWASP, threat modeling, análise estática e de dependências integradas ao fluxo de trabalho.
Treinamentos · DevSecOps e Resiliência
Software seguro e resiliente, no ambiente da sua equipe
Capacitação técnica que vai além da sala de aula: segurança no ciclo de desenvolvimento, alta disponibilidade e operação confiável, com as ferramentas implantadas e funcionando no ambiente da organização.
- Capacitação + implantação real
- Ferramentas open source no seu ambiente
- Remoto ao vivo, com acesso aos ambientes
- Relatório mensal de progresso
Horários fora do expediente: aos domingos e de segunda a quinta à noite, para não tirar a equipe da rotina de trabalho.
Cada push passa por análise estática, de dependências e dinâmica.
Comando
git push origin feature/novo-login
Pipeline
- SAST (SonarQube): nenhuma vulnerabilidade crítica
- SCA (Snyk): 3 dependências atualizadas
- DAST (OWASP ZAP): 1 alerta médio, enviado ao DefectDojo
- Deploy em 10 instâncias com health check
Simular a queda do site principal e medir a recuperação.
Comando
./dr-test.sh --simular-falha site-principal
Resultado
- Failover para o site secundário em 38 s
- Perda de dados de 4 min, dentro do RPO de 15 min
- 1 serviço sem health check: incluído no plano de ação
- Relatório anexado ao guia arquitetural
Para quem
Para times que precisam entregar rápido sem abrir mão de segurança e estabilidade
Infraestrutura e operações
Equipes de infra e SRE que precisam de alta disponibilidade, balanceamento, recuperação de desastres e observabilidade de verdade.
Gestão de TI
Gestores e lideranças que precisam medir a maturidade em segurança, priorizar riscos e cumprir a LGPD com evidências.
Formatos
Do workshop pontual à transformação acompanhada
Workshop de desenvolvimento seguro
Imersão prática em segurança de aplicações, com exercícios sobre o código e as vulnerabilidades mais comuns.
- OWASP Top 10 e CWE na prática
- Threat modeling com STRIDE
- Shift-left e Dev-First Security
- SAST e SCA no fluxo do desenvolvedor
Curso DevSecOps e Resiliência
O conteúdo dos cinco módulos em formato de curso, com laboratórios guiados em ambiente de prática.
- Desenvolvimento seguro e pentest com ZAP
- SLA, SLO, SLI, RPO e RTO
- Alta disponibilidade e balanceamento
- Docker, Kubernetes e registry corporativo
- Certificado de participação
Mentoria aplicada In Company
Capacitação e implantação acontecem juntas: a equipe aprende aplicando no próprio ambiente, com acompanhamento contínuo da Vesparium.
- Diagnóstico de maturidade em segurança
- Os cinco módulos com prática no ambiente real
- SonarQube, Snyk, Horusec, ZAP, DefectDojo, Harbor e HAProxy implantados
- Testes de alta disponibilidade e disaster recovery
- Guia arquitetural com as decisões técnicas
- Relatório mensal de progresso
Como funciona
Diagnóstico, capacitação e implantação, mês a mês
- 01
Diagnóstico
Levantamento do ambiente, das práticas atuais e do nível de maturidade em segurança e resiliência.
- 02
Capacitação
Aulas ao vivo por módulo, sempre ligadas aos sistemas e às dores reais da equipe.
- 03
Implantação
Ferramentas instaladas, integradas ao pipeline e testadas no ambiente, com a equipe executando junto.
- 04
Consolidação
Testes de HA e DR, guia arquitetural e apresentação dos resultados para a liderança.
Conteúdo programático
Cinco módulos, do código seguro à operação resiliente
1. Desenvolvimento seguro
Segurança desde o código
- Segurança, privacidade, LGPD e GDPR
- OWASP Top 10, CWE e vulnerabilidades comuns
- Threat modeling com STRIDE
- Red, Blue e Purple Team; shift-left security
- SAST e SCA com SonarQube, Horusec e Snyk
- Pentest com OWASP ZAP
- GitFlow, Conventional Commits e SemVer
2. Confiabilidade e continuidade
Medir e garantir disponibilidade
- SLA, SLO, SLI e error budget
- Backups, RPO e RTO
- Redundância ativo-ativo, ativo-passivo e N+1
- Balanceamento, health check e connection draining
- Failover, GeoDNS e Anycast DNS
- Alta disponibilidade de banco de dados
3. Plataforma e cadeia de entrega
Ferramentas integradas ao DevSecOps
- Registry corporativo com Harbor: assinatura, scan de CVEs e RBAC
- Gestão de vulnerabilidades com DefectDojo
- Balanceamento e controle de tráfego com HAProxy
- Observabilidade e monitoramento contínuo
- Rollback e contingência
4. Operação resiliente
Validar sob falha
- Health checks de aplicações e serviços
- Alta disponibilidade em ambientes críticos
- Deploys distribuídos em múltiplas instâncias
- Testes de alta disponibilidade e disaster recovery
- Logs estruturados e OpenTelemetry
5. Containerização e consolidação
Padronizar e escalar
- Docker e Docker Compose
- Kubernetes e orquestração
- Introdução a infraestrutura como código e Ansible
- Guia arquitetural e apresentação de resultados
Materiais
O que fica com a organização
- Diagnóstico de maturidade em segurança da organização
- Ferramentas de segurança e alta disponibilidade implantadas e configuradas
- Planos de ação para vulnerabilidades e melhorias de infraestrutura
- Guia arquitetural documentando as decisões técnicas
- Materiais das aulas e laboratórios
Acompanhamento
Cada mês documentado, previsto contra realizado
- Relatório mensal com atividades, entregas e evidências
- Tabela de previsto contra realizado em cada módulo
- Dificuldades registradas com a solução encaminhada
- Canal direto com a equipe entre os encontros
- Apresentação final de resultados para a liderança
Quem conduz
Thiago Vespa
CTO, doutor em Ciência da Computação e em Liderança, com mais de duas décadas liderando times de tecnologia em grandes organizações brasileiras. Fundador da Vesparium, onde desenha os programas e conduz as palestras e oficinas.
Conforme o programa, as turmas também contam com outros instrutores qualificados e convidados de renome no mercado.
Conheça a trajetória completaPerguntas frequentes
Antes de pedir a proposta
Precisamos comprar ferramentas?
Não necessariamente. Priorizamos ferramentas open source ou com plano gratuito, como SonarQube, Horusec, OWASP ZAP, DefectDojo, Harbor e HAProxy, implantadas na infraestrutura da organização.
Funciona remotamente?
Sim. As aulas e a mentoria acontecem ao vivo, por Teams ou Meet, com acesso aos ambientes da organização liberado pela equipe de infraestrutura.
E se ainda não usamos containers ou Kubernetes?
O diagnóstico inicial define o ponto de partida. O conteúdo e as implantações se adaptam à maturidade e à infraestrutura existentes.
Como o progresso é medido?
Cada módulo termina com um relatório de progresso: atividades, entregas, dificuldades e a comparação entre o previsto e o realizado.
Vocês atendem projetos com financiamento ou contratação pública?
Sim. Os relatórios mensais seguem o formato exigido por programas de fomento e contratações formais, e a Vesparium Tech Ltda emite nota fiscal.
Em que horários acontecem os cursos?
Fora do horário de expediente: aos domingos e de segunda a quinta à noite, para não tirar a equipe da rotina de trabalho. O calendário de cada turma é definido com a organização.
Proposta
Vamos desenhar a capacitação da sua equipe
Conte um pouco sobre a organização e o público. Retornamos com uma proposta de formato, cronograma e investimento.