Nove frameworks, Apache-2.0, publicados pela Techstream.

1. 01

   DevSecOps Framework

   Onde colocar segurança em um pipeline de entrega e qual controle entra em cada fase. Dentro: a arquitetura, uma referência de ferramentas por fase do pipeline, um guia de implementação e um roadmap.

   github.com/sotille/devsecops-framework

2. 02

   Secure CI/CD Reference Architecture

   Um pipeline tem cinco pontos de ataque: código-fonte, ambiente de build, segredos, artefatos e deployment. Cada um tem suas ameaças modeladas e o controle correspondente definido, com guias de implementação para GitHub Actions, GitLab CI e Jenkins e um modelo de maturidade para fechar.

   github.com/sotille/secure-ci-cd-reference-architecture

3. 03

   Release Orchestration Framework

   Governança de releases, promoção entre ambientes, fluxos de aprovação, orquestração, rollback e recuperação, escritos para cenários com muitos times e muitos ambientes. Leia se você é o release manager ou o líder de programa que precisa dizer quando algo pode ir para produção.

   github.com/sotille/release-orchestration-framework

4. 04

   Software Supply Chain Security Framework

   Do código-fonte à distribuição: dependências, sistemas de build, artefatos e ambientes de deployment, com o ciclo de vida do SBOM e a proveniência como base da confiança. Parte do SLSA, do NIST SSDF, da Executive Order 14028 e do Cyber Resilience Act da UE, e foi escrito para o programa que um time começa depois de SolarWinds, Log4Shell e XZ Utils.

   github.com/sotille/software-supply-chain-security-framework

5. 05

   DevSecOps Maturity Model

   Cinco níveis em oito domínios, um questionário de pontuação e uma análise de gaps. A linhagem é CMMI, OWASP SAMM e BSIMM, estendida a cloud-native e entrega contínua; a avaliação de duas semanas da página de serviços roda sobre este modelo.

   github.com/sotille/devsecops-maturity-model

6. 06

   Compliance Automation Framework

   Os controles viram policy as code, a evidência é coletada pelo pipeline e não à mão, e o monitoramento a mantém atual, em nuvem, Kubernetes e CI/CD. O mapeamento de controles cobre SOC 2, ISO 27001 e PCI DSS, entre outros, para trocar a conformidade pontual por evidência contínua.

   github.com/sotille/compliance-automation-framework

7. 07

   DevSecOps Methodology

   Uma transformação em quatro fases, avaliar, desenhar, implementar, otimizar, em cultura, processo, ferramentas e governança. Dentro: frameworks de avaliação e roteiros de entrevista, modelos de estado-alvo, playbooks de 90 dias e de 18 meses, matrizes RACI e um programa de security champions. Para o CISO ou o líder de plataforma que patrocina ou conduz o programa.

   github.com/sotille/devsecops-methodology

8. 08

   AI DevSecOps Framework

   O que muda no pipeline quando a IA escreve código e agentes rodam no CI/CD: modelos de ameaças, controles e governança para desenvolvimento assistido por IA, defesa contra prompt injection, supply chain de modelos e autorização de agentes. Pressupõe uma base DevSecOps madura e a estende à superfície de IA, com exemplos em GitHub Actions, GitLab CI e RBAC do Kubernetes.

   github.com/sotille/ai-devsecops-framework

9. 09

   Forensics & Incident Response Framework

   Infraestrutura imutável e efêmera destrói evidência, a menos que a preservação seja projetada. Este repositório é esse projeto: o que registrar, onde guardar sem alteração, como correlacionar entre domínios, e playbooks de investigação para incidentes em CI/CD, nuvem, supply chain, identidade e agentes de IA.

   github.com/sotille/forensics-and-incident-response-framework

Padrões mapeados nos frameworks

DORA, NIS2, o Cyber Resilience Act e o EU AI Act; SLSA, SSDF (NIST SP 800-218), ISO 27001, SOC 2, PCI DSS; CycloneDX e SPDX, Sigstore, OPA.