DevSecOps Podcast

In this episode of the DevSecOps Podcast, we talk with Nariman Aga-Tagiyev about how behavioral science can help improve Application Security programs. Based on his presentation, “Keep It Between Us: Manipulating Humans for Better AppSec (Ethically),” we discuss motivation, skills, tips, habit formation, and how to transform security activities into sustainable behaviors within development teams. We also explore BJ Fogg's Behavioral Model, the Octalysis Framework, and the Habit Cycle in an Application Security context, including the risks of using gamification, pressure, or behavioral manipulation inappropriately.

Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.

Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

In this episode, we sit down with Michael Novack to talk about the AI Explainability Scorecard, a practical framework for evaluating whether AI explanations are actually useful, trustworthy, and actionable.
Michael walks us through the SCORE framework, covering five key dimensions: Sound, Consistent, Optimize, Readable, and Easy. We discuss why “the AI gave an explanation” is not enough, how convincing explanations can still be misleading, and why teams need a structured way to measure explainability before trusting AI-driven decisions.
From compliance and auditability to security, governance, and real-world accountability, this conversation explores what it takes to move AI explainability from vague promise to practical discipline.
If you are building, securing, reviewing, or approving AI systems, this episode is for you.

Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.

Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

E se a correção de vulnerabilidades deixasse de ser um ticket esquecido no backlog e virasse um pull request pronto para revisar? Neste episódio do DevSecOps Podcast, falamos sobre Auto Remediation, a próxima grande virada em Application Security. Discutimos como a automação pode ajudar times a sair do ciclo infinito de findings, planilhas, prioridades falsas e “isso fica para depois”, trazendo correções sugeridas, contexto técnico e ações diretamente para o fluxo dos desenvolvedores. Mas calma: não é apertar um botão mágico e deixar a IA sair commitando como estagiário em sexta-feira à tarde. Falamos também sobre os riscos reais: correções inseguras, mudanças sem contexto, quebra de aplicação, falsa sensação de segurança, dependência excessiva de IA e a necessidade de revisão humana. Um episódio para quem está cansado de apenas encontrar vulnerabilidades e quer começar a discutir o que realmente importa: corrigir com velocidade, contexto e responsabilidade.

Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.

Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

Este episódio aborda os principais desafios em segurança de aplicações, incluindo a cultura organizacional, o alinhamento entre times de desenvolvimento e segurança, e o papel de líderes na transformação dessa cultura. Os convidados compartilham suas experiências na Nova 8 e reflexões sobre como empresas podem evoluir na gestão de vulnerabilidades e segurança de software.

Tópicos que conversamos:
A dinâmica entre times de segurança (APSEC) e desenvolvimento, e a evolução nas relações de trabalho
Os maiores desafios na adoção de ferramentas de AppSec no ambiente de clientes
A importância do planejamento, priorização e cultura na gestão de vulnerabilidades
Como o aculturamento impacta a maturidade da segurança na organização
Os papéis de "médico" e "pai" na gestão de vulnerabilidades e processos de segurança
A influência do alinhamento de do papel de lideranças de segurança e entendimento das metas organizacionais
Como lidar com ruídos e falsos positivos dos scanners de vulnerabilidades
A relação entre cultura, processos, e eficácia na implementação de segurança contínua

Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.

Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

A maioria dos programas de AppSec está afogada em findings, dashboards, scanners, CVEs, SLAs e relatórios que ninguém aguenta mais ler. O problema não é falta de ferramenta. O problema é falta de contexto, correlação e inteligência para entender o que realmente importa. Neste episódio, eu apresento o M.A.R.I.A., o Management Application Risk Integrated Analysis, uma plataforma criada para atuar como uma camada de inteligência de risco em Segurança de Aplicações. O M.A.R.I.A. não nasceu para ser mais um scanner. Ele nasceu para responder perguntas que ferramentas tradicionais normalmente ignoram: qual aplicação está realmente em risco? Qual vulnerabilidade merece atenção agora? Qual time precisa de ajuda? Qual mudança aumentou o risco do ambiente? A proposta é simples e ambiciosa: conectar dados de SAST, DAST, SCA, IaC, Secret Scan, pipelines, repositórios, contexto de negócio e exposição real para transformar ruído em decisão. Porque no fim do dia, AppSec não deveria ser uma fábrica de tickets. Deveria ser um sistema de priorização inteligente para proteger o que importa. Neste episódio, falo sobre:
Por que scanners sozinhos não resolvem AppSec
O problema real por trás do excesso de vulnerabilidades
A diferença entre dashboard, ASPM e inteligência de risco
Como o M.A.R.I.A. pretende correlacionar contexto técnico e contexto de negócio
Onde entram risco, exposição, criticidade, SLA, dívida de segurança e Security Champions
Por que AppSec precisa sair do modo “lista de problemas” e entrar no modo “tomada de decisão”
Um episódio para quem está cansado de medir segurança por quantidade de findings e quer começar a discutir risco de verdade.

Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.

Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.