BCB 538 · CMN 5.274 · PCI DSS v4.0.1
Para instituições financeiras e de pagamento, adequação regulatória já não se resolve apenas com documentação. Ela exige hardening verificável, correção tempestiva e evidência técnica dos componentes de software, sem ampliar um backlog que já opera no limite. No Quor, essas exigências se traduzem em operação contínua e evidência por versão.
97%
+2.739
+24.095
O que o regulador passou a exigir
Art. 3º, § 10
É necessário comprovar perfis de configuração segura em todos os recursos computacionais. Varredura isolada não substitui hardening verificável.
Art. 3º, § 8º
Vulnerabilidades exigem plano de ação documentado, correção em prazo verificável e registro objetivo da remediação realizada.
Art. 14
A IF responde por todo software em operação, incluindo componentes e dependências de terceiros. Rastreabilidade demonstrável de ponta a ponta.
PCI DSS v4.0.1
Por que a remediação manual de CVEs não
sustenta a exigência regulatória
1:63
A cada 1 CVE tratada, 63 novas surgem no mesmo período.
5.040
6h
80
Novas CVES
Corrigidas
Base do cálculo
-> 3 FTEs × 160h/mês = 480h disponíveis
-> 480h ÷ 6h por CVE = 80 CVEs tratadas/mês
Como o Quor muda essa equação
O Quor reduz o passivo na origem
Construído com a experiência da Getup em Kubernetes, o Quor entrega imagens de container compiladas do código-fonte, com superfície de ataque reduzida e build controlado desde a origem. Cada versão já é publicada com zero CVEs e com evidências técnicas como SBOM, proveniência verificável (SLSA), changelog e VEX. O resultado é menos esforço reativo, menor custo operacional e menos pressão sobre times já expostos ao acúmulo de CVEs.
Como o Quor entrega prazo, rastreabilidade e evidência por versão
Conformidade como consequência
Quando SBOM, proveniência, changelog e VEX nascem com a imagem base, responder ao regulador deixa de depender de reconciliação entre times, tickets e planilhas.
Hardening
SLA de correção
Trilha de auditoria
SBOM e proveniência
SBOM e atestado de proveniência gerados no build e associados à versão publicada.
Sem VEX, findings entram em triagem sem contexto suficiente de aplicabilidade.
Preparação para auditoria
Para continuar
Três perspectivas que ajudam a aprofundar o debate sobre custo, compliance e supply chain security.
custo operacional
Quanto custa o CVE management e por que ele vira um imposto operacional
O custo da remediação reativa não aparece no orçamento de segurança. Aparece na sprint, no oncall e no desgaste do time.
COMPLIANCE
Changelog de imagens de container para auditoria e compliance
Como o histórico automático de cada versão elimina o trabalho manual de montar trilha de auditoria para reguladores.
supply chain
Confiança verificável em containers: SBOM, VEX, SLSA e atestados
Os mecanismos técnicos que sustentam integridade e rastreabilidade da cadeia de software.