Primeiro, diagnosticamos a maturidade Security by Design, expomos gaps silenciosos e priorizamos o que vale a pena fazer. Só depois se decide Build, Run, My KG ou My MCP.
31 normas externas decompostas → normalizadas no AppSec Core (CO·P·M·EP), coverage-preserving, SHACL-validado, servido no point of execution pelo MCP. A oferta comercial é correr esse mesmo pipeline na organização.
Políticas, standards, decisões de arquitetura, guidelines de código e runbooks ingeridos e normalizados no mesmo substrato AppSec Core. Coverage-preserving. Cada claim traça à fonte interna.
Seleção das partes do manual público SbD-ToE aplicáveis — por perfil de risco (L1/L2/L3), stack e contexto regulatório. Resultado: manual custom = substrato público + selecção da organização.
O resultado é servido às pessoas e aos agentes da organização no momento da decisão — IDE, PR, pipeline. As regras próprias, com os IDs próprios, entregues a quem precisa, e quando.
As políticas internas saem da wiki e passam a ser conhecimento acionável por máquina, entregue no ponto de mudança com a mesma rastreabilidade do manual público. Construímos sobre o substrato aberto e adaptamo-lo à realidade da organização.
O KG privado da organização — normas internas + selecção do manual público, num substrato único, machine-actionable e rastreável. Precedência explícita, releases imutáveis, SHACL-validado.
O KG servido como MCP custom. Agentes, IDEs e PR bots respondem com os IDs internos, no point of execution. Role-skills regeneram quando a fonte muda. Snapshots privados — o KG nunca sai do perímetro.
Assess & Roadmap → (escolher iniciativas) → Build → (plano acordado) → Run. Build-to-Run embrulha a espinha toda.
Porta de entrada, baixo compromisso. Diagnostica a maturidade, expõe os gaps em silêncio, prioriza o que faz diferença primeiro.
Executa o que o roadmap escolheu. Normaliza as normas internas no Knowledge Graph, põe de pé o MCP custom, instala o operating model e integra no SDLC.
O programa AppSec/SbD operado como serviço: governa a documentação, gere as áreas, operacionaliza as equipas, mede a postura e mantém a plataforma current.
A jornada integrada num só wrapper: do diagnóstico a um programa gerido a correr. Para quem quer o caminho completo, comprometido à partida.
Maturidade da organização mapeada ao SbD-ToE — dos Fundamentos à Governança. Diagnóstico que cruza pessoas, processo e plataforma com o substrato AppSec Core.
Políticas, standards, decisões de arquitetura e runbooks internos decompostos e normalizados no AppSec Core. Coverage-preserving: nada cai em silêncio, cada claim traça à fonte interna. É o mesmo pipeline que construiu o manual público — aplicado ao corpus da organização.
Rollout do MCP custom a servir o KG privado. Integração nos IDEs, nos PR bots e nos pipelines. Role-skills geradas para os roles da organização — regeneram quando a fonte muda. Snapshots privados; o KG nunca sai do perímetro.
RACI, governança, cadências, exceções e champions. State layer de postura e atestação persistente — o que está implementado, o que tem evidência, o que expira quando.
DORA, NIS2, CRA e GDPR levados ao point of execution através de regulatory_activation — a obrigação aponta para as áreas do manual e a evidência traça à fonte. AI Act em indexação; PCI-DSS via overlay corporativo. Cross-check ≠ declaração de conformidade.
Workshops por papel — Architect, Developer, AppSec, QA, DevSecOps, Product — ancorados em Formação e Onboarding e nas role-skills do MCP. Não é formação genérica: é a regra interna, com o ID interno, no contexto real.
Similaridade ≠ aplicabilidade. A IA não cria autoridade.
Damos-te evidência técnica determinística e mapeamentos rastreáveis às normas (NIS2, DORA, CRA, GDPR; AI Act em indexação). Não fingimos o veredicto regulatório — esse continua a ser dado pelo auditor com mandato. Esta honestidade é o que torna o substrato confiável.
A ShiftLeft entrega o substrato, o pipeline e a plataforma. A IA não cria autoridade — propõe, decompõe, mapeia. As normas internas são aprovadas por humanos da própria organização. Vende-se rigor produtizado, não rótulos.
Baixo compromisso, alta clareza. Em poucas semanas, a organização sabe onde estão os controlos em silêncio e qual a primeira iniciativa que paga o caminho.
