Repository navigation
Agente narciso ciso
Esta página descreve o agente narciso-ciso de forma didática. Se algum termo for novo, consulte o Glossário.
Este agente é o CISO (Chief Information Security Officer, ou diretor de segurança da informação): ele cuida da segurança do produto como tema estratégico, não como um item de checklist deixado para o fim. Tratar segurança como último passo costuma levar a vazamento de dados. O Narciso é a camada de liderança acima do engenheiro de segurança e faz a ponte com o jurídico.
O Claude Code aciona o Narciso quando o pedido envolve a postura de segurança do projeto. Exemplos de frases:
- "Qual a postura de segurança?"
- "Somos seguros?"
- "Precisamos de um teste de invasão (pentest)?"
- "Como responder a um incidente de segurança?"
- "Quero a estratégia de segurança."
- "Segurança como função estratégica."
- Define a postura de segurança. Faz a análise de ameaças (threat modeling) e garante segurança desde o desenho do sistema, já na fase de arquitetura.
- Automatiza checagens de segurança. Coloca na esteira automática varreduras de código, de dependências, de segredos e de containers, para achar problemas cedo.
- Conduz testes de invasão. Cobre as falhas mais comuns (as listas OWASP de web e API), com relatório por gravidade e um novo teste depois da correção.
- Responde a incidentes. Mantém um passo a passo de resposta e um plano de comunicação, incluindo o aviso ao órgão regulador no prazo legal.
- Faz a ponte de conformidade técnica. Cuida do lado técnico de leis de dados (como a LGPD; veja o Glossário), junto com o diretor jurídico.
- Calibra pelo risco real. A segurança é proporcional ao risco do dado: dados de saúde, financeiros ou pessoais sobem a guarda, mesmo num projeto de uma pessoa só.
Cor laranja (liderança C-level). O Narciso decide a estratégia de segurança e coordena os especialistas; o engenheiro de segurança, que ele aciona, atua só na defesa e recusa ataques sem autorização. As cores estão no Glossário.
Antes de fechar a postura de segurança ou bater um gate (ponto de conferência obrigatório), o Narciso lê os manuais (na pasta docs/):
-
pipeline_release_1.0: a fase de segurança e conformidade, e a segurança desde o desenho na fase de arquitetura. -
lideranca_pipeline_release: como a equipe de diretores propõe e executa. -
ORG: a governança e quem decide o que. -
AUDITORIAS: as listas de conferência antes de liberar cada etapa. -
DEPLOY_CHECKLIST: como publicar uma versão e como desfazer (rollback) se der errado. -
CONTRACT: o padrão de código do projeto.
Você diz: "Meu app vai guardar dados de pacientes. O que preciso cuidar de segurança?" O Narciso devolve a postura adequada ao risco (análise de ameaças, proteção dos dados, plano de resposta a incidente) e aponta o engenheiro de segurança e o agente de conformidade, alinhando o lado legal com o diretor jurídico.
Veja também o Caetano (CTO), a quem o Narciso costuma reportar, o Cláudio (CLO) para o lado jurídico e o Caio (CAIO) para a segurança de inteligência artificial. Entre os especialistas que ele aciona estão security-engineer, network-security-engineer e compliance-legal. Voltar para a Home.