O Banco Serfinanza reduz o tempo de gestão de buscas em cerca de 90% e automatiza seus controles de desenvolvimento seguro com IA.

Estudo de caso

Sobre o Banco Serfinanza

Banco Serfinanza SA É uma instituição financeira colombiana com sede em Barranquilla, especializada em serviços bancários para consumidores, financiamento ao varejo e soluções financeiras para pequenas e médias empresas.

Como parte de sua estratégia de crescimento e transformação digital, o Banco desenvolveu suas próprias capacidades tecnológicas para acelerar o lançamento de produtos e serviços digitais. Seu desenvolvimento de software se baseia em dois pilares: uma fábrica de software interna e um grupo de parceiros estratégicos especializados que também desenvolvem código para o Banco.

O desafio: segurança integrada em todo o desenvolvimento distribuído.

Quando o desenvolvimento se acelera e passa a ser dividido entre uma equipe interna e diversos parceiros externos, o controle de segurança não pode mais depender de revisões manuais. Cada entrega representa uma oportunidade para que uma vulnerabilidade no código ou uma configuração de infraestrutura insegura chegue à produção sem ser detectada a tempo.

E a detecção não era o problema. Com revisões periódicas, a equipe de segurança recebia um grande volume de informações que precisavam ser classificadas manualmente, decidindo uma a uma quais mereciam a atenção de um desenvolvedor e, em seguida, atribuindo-lhes tarefas. Esse trabalho de classificação, e não a análise, era o gargalo. O Banco Serfinanza identificou três necessidades específicas:

. Visibilidade contínua e consistente ao risco de todo o código que entra no Banco, seja ele escrito por sua equipe interna ou por um parceiro.
. Priorização automática, não triagem manual. A decisão sobre o que corrigir primeiro não deve depender de alguém revisar listas item por item.
. O controle ocorre durante o ciclo de desenvolvimento, não depois dele. A análise deve ser executada em todos os casos. commit e cada pull request, e não como uma revisão periódica que deixa lacunas entre uma rodada e a seguinte.

O objetivo principal não era adicionar mais uma ferramenta de análise, mas sim fortalecer a governança de desenvolvimento seguro com evidências automatizadas e mensuráveis.

Nosso desafio não era detectar vulnerabilidades, mas sim fazê-lo na mesma velocidade em que nossa equipe interna de desenvolvimento e nossos parceiros externos trabalhavam. O ritmo acelerado dos negócios significava um aumento constante no código que entrava no Banco, e com controles manuais isso não era sustentável.

Leonell Santiago Sanandres

Diretor de Risco Operacional

A solução: uma plataforma alinhada com a visão de transformação digital.

O Banco adotou o Xygeni após uma avaliação minuciosa das alternativas disponíveis no mercado.

O primeiro contato ocorreu no 18ENISE, evento organizado pelo INCIBE em León, Espanha, onde a equipe do Banco Serfinanza descobriu a abordagem da Xygeni para a gestão da segurança no desenvolvimento de software.

A partir daí, foi realizada uma prova de conceito para validar dois aspectos: que a plataforma se integrava aos processos e ferramentas que o Banco já possuía e que os resultados produzidos eram acionáveis sem sobrecarregar a equipe de segurança.

A Xygeni abrange todo o ciclo a partir de uma única plataforma, com análise de código proprietário, dependências de código aberto, aplicativos em execução, APIs, credenciais expostas e infraestrutura como código, além de proteção da cadeia de suprimentos de software e um ASPM camada que consolida tanto as suas próprias descobertas quanto as obtidas de outras ferramentas em um único modelo de risco.

A partir dessa plataforma, o Banco Serfinanza implementou quatro funcionalidades, escolhidas por sua adequação às prioridades do Banco: IA SAST em código proprietário, CI/CD Segurança no pipelines, IaC Security na infraestrutura como código e na camada de inteligência artificial da plataforma, que automatiza a triagem e priorização de tudo o que as outras três detectam.

A integração foi feita no GitLab, adicionando análises à infraestrutura existente. pipelineOs repositórios foram integrados progressivamente, em fases e de acordo com as prioridades do Banco, em vez de ativar a análise em toda a infraestrutura de uma só vez. Isso decisA solução evitou o efeito usual de uma implementação de segurança: um volume inicial de descobertas tão grande que as equipes de desenvolvimento as ignoram.

Os resultados demonstraram forte alinhamento com os objetivos da organização, especialmente em automação, visibilidade de riscos e controles de desenvolvimento seguro mais robustos.

Xygeni Produtos usados

Embora o Banco Serfinanza tenha testado todos os produtos Xygeni, aumentando a abrangência da análise e a detecção de problemas, o foco e os benefícios validados durante a prova de conceito (PoC) concentraram-se nos seguintes aspectos:

Segurança de CI/CD

PipelineOs arquivos são analisados como código, na mesma cadência que o código do aplicativo. O Xygeni realiza verificações. pipeline definições e SCM Configurações inseguras, permissões excessivas, branches desprotegidas e riscos no processo de build, mapeadas para o OWASP. CI/CD Top 10. Para um banco com desenvolvimento distribuído, o pipeline É um ponto de controle tão crítico quanto o próprio código: é onde tudo que entra no Banco converge, venha de dentro ou de fora.

AI SAST

Análise estática de código proprietário com inteligência artificial em todos os commit e pull requestEle detecta padrões inseguros, como injeção de SQL ou cross-site scripting, e usa o próprio contexto do repositório para separar o que é explorável do que é teórico, para que os desenvolvedores vejam apenas o que importa. standard Aplica-se ao código da equipe interna e de parceiros estratégicos e, quando uma descoberta é confirmada, a correção automática por IA propõe a correção diretamente no código. pull request.

IaC Security

Configurações inseguras em infraestrutura como código são detectadas antes de serem provisionadas, em plataformas como Terraform, CloudFormation, ARM, Bicep, Kubernetes, Helm e Dockerfiles, além das imagens de contêiner que elas criam. Guardrails no pull request e pipeline Interrompa uma alteração arriscada antes que ela chegue à nuvem, e a correção automática por IA propõe o modelo corrigido. A correção ocorre em minutos, não após a implantação, quando isso exigiria uma janela de manutenção.

Os resultados

90% menos tempo gasto na identificação, priorização e atribuição de constatações de segurança.

A economia não vem da detecção mais rápida, mas sim do fim da classificação manual. A análise passou de uma revisão periódica para ser executada automaticamente em todos os casos. commit e cada pull requestA camada de IA fornece avaliações de risco já ordenadas por contexto real, em vez de gravidade teórica. O que antes era uma tarefa recorrente para a equipe de segurança — revisar listas e decidir a quem atribuir cada tarefa — agora chega já resolvido. Esse salto para 90% coincide com a introdução da camada de inteligência artificial. A detecção contínua já era possível com a IA. SAST, CI/CD Segurança e IaC SecurityO que faltava era eliminar o trabalho manual que se acumulava após cada análise.

Governança sobre código que a própria equipe do Banco não escreve.

O controle de segurança se aplica igualmente ao desenvolvimento realizado internamente e por parceiros estratégicos. O Banco passou de confiar nas práticas de cada fornecedor para exigir as mesmas práticas verificáveis. standard, com evidências automatizadas de que é atendido em cada entrega, em mais de 100 repositórios sob análise contínua. Este é o resultado com o maior alcance a longo prazo em toda a implementação. standard O fato de ser verificado em cada entrega não depender da maturidade de cada parceiro ou da relação comercial com eles, e confere ao Banco uma posição diferenciada em suas conversas com os fornecedores.

Detecção precoce de vulnerabilidades antes da implementação em produção

Vulnerabilidades no código e configurações de infraestrutura inseguras são identificadas durante o ciclo de desenvolvimento, onde corrigi-las custa uma fração do que custaria posteriormente. Hoje, todas as vulnerabilidades críticas e de alta prioridade são resolvidas antes de chegarem à produção.

Da descoberta à solução: o ciclo é medido em horas, não em dias.

Uma vulnerabilidade que antes podia passar despercebida até a próxima revisão agendada agora aparece em minutos, dentro do mesmo sistema. pull request onde foi introduzido e é corrigido enquanto o contexto ainda está fresco na memória do desenvolvedor. A correção deixa de ser uma interrupção e passa a fazer parte do trabalho já em andamento.

Priorização automática: de um volume de resultados a uma lista reduzida.

A triagem deixou de ser uma tarefa exclusiva da equipe de segurança. A inteligência artificial da plataforma classifica os riscos por contexto real e reduz o ruído que chega às equipes de desenvolvimento. O efeito não é apenas técnico: melhora a priorização automática, transformando um grande volume de descobertas em listas concisas e definindo a relação entre segurança e produto, pois as correções solicitadas aos desenvolvedores passam a ser justificadas.

A implementação do Xygeni permitiu-nos fortalecer significativamente os nossos processos de desenvolvimento seguros, automatizando os controlos e detetando vulnerabilidades precocemente.

Reduzimos em cerca de 90% o tempo gasto na gestão e priorização das descobertas, e hoje a maioria delas é resolvida antes de chegar à produção. Além das capacidades técnicas da plataforma, valorizamos a sua equipe. commitvisa a melhoria contínua, a inovação e o apoio constante ao longo de todo o processo.

A Xygeni tornou-se um importante facilitador em nossa estratégia de transformação digital e gestão de riscos tecnológicos.

Leonell Santiago Sanandres

Diretor de Risco Operacional, Banco Serfinanza SA

O Banco Serfinanza reduz o tempo de gestão de buscas em cerca de 90% e automatiza seus controles de desenvolvimento seguro com IA.

Estudo de caso

Estudo de caso

Sobre o Banco Serfinanza

O desafio: segurança integrada em todo o desenvolvimento distribuído.

A solução: uma plataforma alinhada com a visão de transformação digital.

Xygeni Produtos usados

Segurança de CI/CD

AI SAST

IaC Security

Os resultados

Governança sobre código que a própria equipe do Banco não escreve.

Detecção precoce de vulnerabilidades antes da implementação em produção

Da descoberta à solução: o ciclo é medido em horas, não em dias.

Priorização automática: de um volume de resultados a uma lista reduzida.

Proteja seu desenvolvimento e entrega de software

com Xygeni Segurança