A Clavis participou do Meetup Codecon Joinville, um dos principais encontros da comunidade de tecnologia da região, que reúne profissionais, estudantes e especialistas para compartilhar experiências, discutir tendências e promover o desenvolvimento do ecossistema de tecnologia e segurança.
Representando a Clavis, Gisely Otoni, Analista de GRC, apresentou a palestra “Como pequenas falhas do OWASP destroem grandes sistemas”, mostrando como vulnerabilidades aparentemente simples podem comprometer aplicações críticas quando não são tratadas desde as primeiras etapas do desenvolvimento.
A apresentação teve como base as atualizações do OWASP Top 10 2025, explorando as principais mudanças da nova edição e como elas refletem a evolução dos riscos enfrentados por aplicações modernas.
O OWASP Top 10 acompanha a evolução das ameaças
Um dos primeiros pontos abordados foi o papel do OWASP como uma das principais referências mundiais em segurança de aplicações. Mais do que um ranking de vulnerabilidades, o OWASP Top 10 funciona como um guia de conscientização para desenvolvedores e equipes de engenharia, reunindo os riscos que mais impactam aplicações web atualmente.
Durante a palestra, Gisely explicou que a edição de 2025 amplia o foco para desafios cada vez mais presentes em arquiteturas modernas, como microsserviços, ambientes distribuídos e cadeias de suprimentos de software. Entre as principais mudanças apresentadas, destacam-se:
- Broken Access Control permanece como a vulnerabilidade mais crítica;
- Security Misconfiguration sobe para a segunda posição do ranking;
- Software Supply Chain Failures passa a integrar oficialmente o Top 10, refletindo a crescente preocupação com dependências, pipelines e componentes de terceiros.
Essas alterações mostram que proteger apenas o código já não é suficiente. Hoje, configurações, integrações e componentes externos fazem parte da superfície de ataque e precisam receber o mesmo nível de atenção.
Quando pequenos erros geram grandes impactos
Ao longo da apresentação, foram demonstrados exemplos práticos de falhas recorrentes encontradas em aplicações, evidenciando como erros aparentemente simples podem abrir caminho para comprometimentos significativos.
Entre os exemplos apresentados estavam problemas de controle de acesso, exposição de informações de depuração, privilégios excessivos e credenciais armazenadas diretamente no código-fonte.
Embora muitas dessas situações pareçam detalhes técnicos isolados, elas podem ser exploradas para facilitar movimentação lateral, acesso indevido a informações e comprometimento de serviços críticos.
A palestra também destacou dados do próprio OWASP que reforçam a relevância desses riscos. Segundo o levantamento apresentado, o Broken Access Control continua sendo a categoria mais crítica, enquanto as configurações incorretas cresceram significativamente em incidência, acompanhando a complexidade cada vez maior dos ambientes de desenvolvimento modernos.
A cadeia de suprimentos também precisa fazer parte da estratégia
Outro tema de destaque foi a inclusão das falhas na cadeia de suprimentos de software entre os principais riscos do OWASP Top 10 2025.
A apresentação mostrou que o desafio deixou de estar apenas no desenvolvimento interno. Dependências vulneráveis, bibliotecas desatualizadas, componentes de terceiros e pipelines de distribuição passaram a representar riscos relevantes para organizações de todos os portes.
Nesse contexto, foram discutidos exemplos de vulnerabilidades relacionadas ao uso de componentes conhecidos como inseguros, ausência de verificação de integridade durante downloads e dependência de softwares sem manutenção, reforçando a importância de ampliar a visibilidade sobre todo o ecossistema que compõe uma aplicação.
Maturidade em segurança vai além da correção de vulnerabilidades
Além do OWASP Top 10, Gisely apresentou o OWASP SAMM (Software Assurance Maturity Model) como um modelo voltado ao desenvolvimento contínuo da maturidade em segurança.
Enquanto o Top 10 ajuda a identificar os principais riscos, o SAMM propõe uma abordagem estruturada para incorporar segurança durante todo o ciclo de vida do desenvolvimento, contemplando aspectos como governança, modelagem, verificação e operações.
Essa evolução permite que a segurança deixe de atuar apenas de forma reativa e passe a fazer parte da estratégia de desenvolvimento desde a concepção das aplicações.
Segurança precisa nascer junto com a aplicação
Como principal mensagem da palestra, Gisely reforçou que a maior parte dos incidentes não acontece por vulnerabilidades extremamente sofisticadas, mas por pequenas decisões tomadas ao longo do processo de desenvolvimento.
Construir aplicações resilientes exige incorporar segurança desde o design, estabelecer processos maduros de desenvolvimento e adotar uma visão contínua sobre riscos, configurações e dependências.
Em um cenário cada vez mais complexo, a arquitetura segura deixa de ser uma etapa isolada para se tornar parte fundamental da construção de software confiável, escalável e preparado para os desafios atuais.
