Somos a casa do Security by Design — Theory of Everything (SbD-ToE). O manual é open source, vive em securitybydesign.dev, e traz o seu próprio servidor MCP no npm: @shiftleftpt/sbd-toe-mcp.
Escrevemos o nosso framework de Security by Design em 2015 — by design, by default — quando a engenharia segura era ainda uma disciplina, não um mercado. Praticámo-la em cada vaga desde então: AppSec, DevSecOps, Secure SDLC, e as normas e regulações que se seguiram.
Na altura, o difícil era que a orientação mal existia. Hoje é o contrário — há demais. SSDF, SAMM, ASVS, CIS, as regulações: dezenas de frameworks, milhares de requisitos sobrepostos, espalhados por documentos que nenhum engenheiro consegue abarcar. A lacuna já não é conhecimento. É saber o que fazer, e quando — e conseguir prová-lo.
O SbD-ToE é a resposta à enchente: normalizámos 31 fontes e 4.000+ claims num único modelo bounded e rastreável — para que os engenheiros saibam exatamente o que fazer, quando, com um ID verificável por trás de cada requisito. Sem slides vagos. Consolidação e racionalização, mantidas open source — as it should be.
E nada diz shift left mais do que o agente — e o engenheiro — ter exatamente a informação de que precisa, exatamente quando precisa: governado, central, completo, determinístico. É isso que o MCP faz: entrega a regra certa ao role certo no ponto de mudança, citando IDs reais, sem inventar.
Há uma década, o framework que ainda não existia. Hoje, a consolidação que existe — aberta, rastreável, e entregue onde o trabalho acontece.
Se não traça ao manual / ontologia / DOI, não se diz.
"Cita AUT-001" > "rastreabilidade total".
Dizemos o que NÃO fazemos (cross-check ≠ compliance) com confiança.
Sem exclamação, sem urgência fabricada.
Tudo volta ao mesmo eixo.
