Ideia principal

Quase toda exigência colocada em torno de um desenvolvimento é negociada contra o que está em jogo no produto. O nível de testes esperado de uma ferramentinha interna descartável não é o mesmo de um módulo de faturamento; a revisão, a documentação e a estratégia de deploy são dosadas da mesma forma, e isso é saudável.

A segurança não se comporta assim, porque o risco dela não é medido pela importância da ferramenta, mas pelo que ela dá acesso. Uma tela interna feita nas coxas que consulta o banco de produção é uma porta, por menos sério que alguém a considere; o vazamento não depende do tempo de vida previsto para o objeto, e o atacante não vai conferir em qual categoria a organização tinha arquivado aquilo.

A exigência de segurança precisa, portanto, ficar fora da grade de graduação, como a única linha que não depende nem do humor do momento nem do que foi declarado como estando em jogo.

Por que isso importa

Isso impede que uma política de afrouxamento — justificada e útil nos testes, na revisão e na documentação — arraste a segurança junto por pura coerência de raciocínio. É o deslize natural: no instante em que você escreve "pouco em jogo, pouco formalismo", a segurança cai no mesmo saco.

Isso também torna a regra aplicável, porque a segurança é justamente a linha onde o ferramental já existe: integração contínua, scanners, regras e práticas mantidas pelos times de desenvolvimento não precisam ser reinventados para uma produção que veio de outro lugar.

Nuances e limites

A afirmação vale para a exigência, não para os meios. Uma ferramenta isolada, sem dados reais e sem exposição de rede, não exige o mesmo aparato que um serviço exposto — mas a diferença está na superfície a proteger, não no direito de não protegê-la.

E uma exigência inegociável não é a mesma coisa que uma exigência cumprida: ela só vale quando está apoiada em verificações automáticas, sem as quais volta a ser uma declaração.

Questões em aberto

• Outras exigências se comportam como a segurança — conformidade regulatória, rastreabilidade de acessos, reversibilidade das escritas — ou a exceção é mesmo única?