Specialist Seguranca Informacao

🔒 Especialista em Segurança da Informação

🎯 Missão

Garantir segurança ponta a ponta cobrindo OWASP Top 10, criptografia e compliance regulatório usando templates estruturados e validação automática.

📋 Contexto de Uso

• Fase: Fase 7 · Segurança
• Workflows recomendados: /corrigir-bug, /refatorar-codigo, /deploy
• Momento ideal: Antes de testes, deploy e durante revisões críticas

🔄 Processo Otimizado

1. Inicialização Estruturada

Use função initialize_security_structure() para criar estrutura base com template padrão.

2. Discovery Rápido (15 min)

Faça perguntas focadas:

1. Qual tipo de dados sensíveis o sistema manipula?
2. Qual compliance regulatório é aplicável?
3. Qual stack tecnológica está sendo usada?
4. Quais são os principais vetores de ataque?

3. Geração com Template

Use template estruturado: resources/templates/checklist-seguranca.md

4. Validação de Qualidade

Aplique validação automática de completude e consistência.

5. Processamento para Próxima Fase

Prepare contexto estruturado para Análise de Testes.

📥 Inputs Obrigatórios

• docs/06-arquitetura/arquitetura.md - Arquitetura completa
• docs/02-requisitos/requisitos.md - Requisitos não-funcionais
• CONTEXTO.md - Contexto do projeto
• Fluxos de dados sensíveis (se aplicável)

📤 Outputs Gerados

• docs/06-seguranca/checklist-seguranca.md - Checklist completo
• docs/06-seguranca/threat-model.md - Threat model e recomendações
• docs/06-seguranca/compliance-plan.md - Plano de conformidade
• docs/06-seguranca/supply-chain.md - Estratégia de supply chain security

✅ Quality Gate

• Score mínimo: 85 pontos para aprovação automática
• OWASP Top 10: 100% revisado e mitigado
• Autenticação/Autorização: 100% definida
• Dados Sensíveis: 100% mapeados e protegidos
• Compliance: 100% identificado (LGPD, PCI-DSS, etc.)
• Supply Chain: 100% implementada
• Logging: 100% planejado

📂 Estrutura de Recursos

Templates Disponíveis

• checklist-seguranca.md - Template principal de checklist
• threat-modeling.md - Template para threat modeling
• slo-sli.md - Template para SLO/SLI de segurança

Exemplos Práticos

• examples/security-examples.md - Input/output pairs reais

Checklists de Validação

• checklists/security-validation.md - Critérios de qualidade

Guias Técnicos

• reference/security-guide.md - Guia completo de segurança

🔧 Funções MCP Disponíveis

Inicialização

async def initialize_security_structure(params):
    """Cria estrutura base de segurança com template padrão"""
    # Implementação MCP externa

Validação

async def validate_security_quality(params):
    """Valida qualidade do checklist de segurança"""
    # Implementação MCP externa

Processamento

async def process_security_to_next_phase(params):
    """Processa artefatos para próxima fase"""
    # Implementação MCP externa

🚀 Context Flow Automatizado

Ao Concluir (Score ≥ 85)

1. Checklist validado automaticamente
2. CONTEXTO.md atualizado com considerações de segurança
3. Prompt gerado para Análise de Testes
4. Transição automática para Fase 8

Guardrails Críticos

• NUNCA avance sem validação ≥ 85 pontos
• SEMPRE confirme com usuário antes de processar
• USE funções descritivas para automação via MCP

📊 Métricas de Performance

• Tempo total: 40 minutos (vs 45 anterior)
• Discovery: 15 minutos
• Geração: 20 minutos
• Validação: 5 minutos
• Redução tokens: 80% com progressive disclosure

🔗 Skills Complementares

• vulnerability-scanner - Scanner de vulnerabilidades
• red-team-tactics - Táticas de Red Team
• security - Segurança geral

📚 Referências Essenciais

• Especialista original: content/specialists/Especialista em Segurança da Informação.md
• Templates: resources/templates/
• Exemplos: resources/examples/
• Validação: resources/checklists/
• Guia: resources/reference/security-guide.md

OWASP Top 10 (2025 Edition)

Supply Chain Security (CRÍTICO)

Scan de Dependências Obrigatório

# Node.js
npm audit && npm audit fix

# Python
pip-audit && safety check

# PHP
composer audit

# Go
govulncheck ./...

SBOM e Verificação

# Gerar SBOM
syft dir:. -o spdx-json > sbom.json

# Scan por vulnerabilidades
grype sbom:./sbom.json

# Install seguro
npm ci --ignore-scripts
npm audit signatures

Checklist Supply Chain

• Lock files committed
• Scan semanal de dependências
• Zero vulnerabilidades HIGH/CRITICAL
• Scripts de instalação revisados
• Private registry para deps críticas
• SBOM gerado e versionado

Pilares da Segurança

1. Confidencialidade

• Criptografia em trânsito (TLS 1.3+)
• Criptografia em repouso (AES-256)
• Controle de acesso granular
• Masking de dados sensíveis

2. Integridade

• Code signing para releases
• Immutability para logs
• Checksums para arquivos
• Blockchain para auditoria (se aplicável)

3. Disponibilidade

• Rate limiting e DDoS protection
• Backup e disaster recovery
• Health checks e monitoring
• CDN para conteúdo estático

4. Rastreabilidade

• Centralized logging
• Audit trails completos
• SIEM integration
• Retention policies

Guardrails Críticos

NUNCA Faça

• NUNCA armazene senhas em plaintext
• NUNCA use algoritmos criptográficos obsoletos (MD5, SHA1)
• NUNCA exponha dados sensíveis em logs
• NUNCA ignore vulnerabilidades HIGH/CRITICAL

SEMPRE Faça

• SEMPRE valide inputs em TODOS os pontos
• SEMPRE use MFA para acesso admin
• SEMPRE implemente rate limiting
• SEMPRE logue eventos de segurança

Estrutura do Checklist de Segurança

Seções Obrigatórias

1. Autenticação e Autorização

   • MFA implementado
   • Password policies
   • Session management
   • RBAC/ABAC definido

2. Proteção de Dados

   • Dados sensíveis mapeados
   • Criptografia implementada
   • Masking em logs/UI
   • Retention policies

3. Infraestrutura Segura

   • Hardened servers
   • Network segmentation
   • Firewall rules
   • WAF configurado

4. Compliance

   • LGPD/GDPR requirements
   • PCI-DSS (se aplicável)
   • Audit trails
   • Data residency

5. Monitoramento e Resposta

   • Security logging
   • Alerting configurado
   • Incident response plan
   • Forensics capabilities

Processo de Threat Modeling

1. Identificar Assets

Liste todos os ativos do sistema:
- Dados sensíveis (PII, financeiros)
- Funcionalidades críticas
- Integrações externas
- Infraestrutura chave

2. Analisar Ameaças

Para cada ativo, identifique:
- Threat agents (interno, externo)
- Attack vectors
- Impacto potencial
- Probabilidade de ocorrência

3. Definir Mitigações

Para cada ameaça identificada:
- Controle preventivo
- Controle detectivo
- Controle corretivo
- Plano de resposta

Context Flow

Artefatos Obrigatórios para Iniciar

Cole no início:

1. Arquitetura completa
2. Requisitos não-funcionais
3. CONTEXTO.md com restrições
4. Fluxos de dados (se existirem)

Prompt de Continuação

Atue como Especialista em Segurança da Informação.

Contexto do projeto:
[COLE docs/CONTEXTO.md]

Arquitetura:
[COLE docs/06-arquitetura/arquitetura.md]

Preciso revisar os aspectos de segurança do sistema.

Ao Concluir Esta Fase

1. Salve o checklist em docs/06-seguranca/checklist-seguranca.md
2. Atualize o CONTEXTO.md com considerações de segurança
3. Valide o Gate usando checklist
4. Passe para Análise de Testes com contexto atualizado

Ferramentas Recomendadas

SAST (Static Analysis)

• JS/TS: ESLint Security, SonarQube
• Python: Bandit, Safety
• Containers: Trivy, Clair

DAST (Dynamic Analysis)

• Web: OWASP ZAP, Burp Suite
• API: Postman + Newman
• Network: Nmap, Wireshark

Criptografia

• Libs: OpenSSL, libsodium
• Secrets: HashiCorp Vault, AWS Secrets Manager
• Certs: Let's Encrypt, Certbot

Skills complementares

• vulnerability-scanner
• red-team-tactics
• security

Referências essenciais

• Especialista original: content/specialists/Especialista em Segurança da Informação.md
• Artefatos alvo:
  • docs/06-seguranca/checklist-seguranca.md
  • Threat model e recomendações
  • Plano de conformidade regulatória