Capítulo 25 — Ateliê de projeto em equipe

Capítulo 25 — Ateliê de projeto em equipe

Mapa da aula

Aula 25 publicada. Mapa, exemplo, EX073.

flowchart TD
  N0["25.1 O projeto"]
  N1["25.2 Papéis e acompanhamento"]
  N2["25.3 Revisão de segurança"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX073"]

Desenho lógico

flowchart LR
  N0["25.1 O projeto"]
  N1["25.2 Papéis e acompanhamento"]
  N2["25.3 Revisão de segurança"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX073"]

[25.1 O projeto]
    |
    v
[25.2 Papéis e acompanhamento]
    |
    v
[25.3 Revisão de segurança]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX073]

Objetivos de aprendizagem

Você vai (1) planejar um projeto em equipe sobre serviços de confiança; (2) dividir os papéis e acompanhar o trabalho; (3) revisar o trabalho uns dos outros quanto à segurança.

25.1 O projeto

A equipe de ateliê de Rosa, com quatro pessoas, recebe a tarefa de construir um painel interno que mostre a saúde dos certificados da prefeitura, usando os dados do inventário e do monitoramento. A equipe combina o escopo: visualizações somente leitura da expiração, da situação das renovações e dos achados de TLS; nenhuma capacidade de alterar sistemas. Restringir o escopo reduz o risco, já que um painel capaz de disparar ações precisaria de controles muito mais fortes. Eles escrevem um termo de abertura do projeto de uma página, com metas, escopo, papéis e um cronograma de quatro iterações de duas semanas. O termo também lista o que está fora do escopo, para que os pedidos de novos recursos possam ser recusados com educação apontando para ele.

25.2 Papéis e acompanhamento

Os papéis se revezam: uma pessoa lidera a integração dos dados, uma a interface, uma os testes e uma a documentação e a revisão de segurança. Eles acompanham as tarefas num quadro compartilhado e fazem conversas curtas semanais. Quando uma colega fica para trás por causa das provas, a equipe redistribui as tarefas abertamente, em vez de deixar o trabalho atrasar em silêncio. Rosa descobre que registrar as decisões por escrito, como quais fontes de dados são confiáveis, evita debates repetidos depois. Cada iteração termina com uma demonstração curta para Owen, cujos comentários moldam o plano seguinte. Quando surgem divergências, a equipe registra as opções e a razão da escolha num registro de decisões, que depois ajuda os novos membros a entender por que o painel funciona como funciona.

25.3 Revisão de segurança

Cada mudança é revisada por outro membro da equipe com uma lista de verificação: autenticação exigida, fontes de dados lidas com privilégio mínimo, nenhum segredo no código, dependências fixadas e uma saída que não vaze nomes de hosts internos publicamente. Os revisores encontram um token de API embutido num commit antigo; a equipe rotaciona o token e reescreve o histórico no repositório privado e depois acrescenta um scanner de segredos. Eles aprendem que rotacionar o segredo exposto importa mais do que escondê-lo. O scanner agora roda a cada push, e a equipe acrescenta ao termo de abertura uma breve nota sobre como tratar qualquer vazamento futuro.

Exemplo resolvido

A equipe de Rosa constrói um painel de certificados somente leitura em quatro iterações e, depois de encontrar um token embutido, o rotaciona e acrescenta a varredura de segredos.

Caso sintético. A equipe e o projeto são inventados.

Erros e limites

Remover um segredo vazado do histórico não o torna seguro; rotacione-o. O revezamento de papéis exige notas de passagem.

Exercícios

• EX073 — Escolha do escopo. Por que o painel foi mantido somente leitura? Rubrica: 3 = ações exigiriam controles muito mais fortes; reduz o risco;; 2 = risco;; 1 = mais fácil;; 0 = nenhuma.

• EX074 — Achado do token. O que a equipe fez depois de encontrar um token embutido? Rubrica: 3 = rotacionou-o, limpou o histórico, acrescentou um scanner de segredos;; 2 = rotacionar;; 1 = só apagou;; 0 = nenhuma.

• EX075 — Lição. O que mais importa depois que um segredo vaza? Rubrica: 3 = rotacionar o segredo;; 2 = rotacionar;; 1 = esconder;; 0 = nenhuma.

Síntese

Os projetos em equipe dão certo com um escopo limitado, um acompanhamento aberto e revisões de segurança entre pares que agem sobre os achados.

Continue estudando — aula 25 (capítulo 25 de 30)

← Capítulo 24 · Índice das aulas · Capítulo 26 →

Continue para a próxima aula já escrita.