94%
Falhas exploráveis em aplicações
Aplicações testadas exibiram ao menos uma falha exploitable em categoria do OWASP Top 10.
OWASP Top 10Sobre · Quem Somos
Engenharia de softwareque assina o que entrega.
Não somos fábrica de software, não somos house de marketing, não somos revenda de ferramenta. Operamos como engenharia de software crítico, com responsável técnico nominal, parecer defensável e risco partilhado em contrato.
Responsável técnico nominalParecer auditávelGarantia em dobro
Realidade verificável
O que o mercado registra, em números públicos.
USD 4.88M
Custo médio de violação
Média global de custo de uma violação de dados em 2024, considerando resposta, perda e regulatório.
IBM 202468%
Falha humana
Proporção de violações que envolveram um elemento humano não malicioso (erro, social engineering).
Verizon DBIR 20241.200+
Vulnerabilidades exploradas ativas
Entradas no catálogo CISA KEV de vulnerabilidades conhecidamente exploradas em ataques reais.
CISA KEVCusto do silêncio
Quando o software crítico não tem responsável técnico, o cliente vira o autor da decisão.
O padrão de mercado terceiriza arquitetura, segurança e sustentação sem assinar parecer. Quando o incidente acontece, o regulador, o conselho e o segurador pedem nome técnico. Sem ele, a responsabilidade recai sobre quem contratou.
Sem responsável técnico
Risco integral no contratante
Conselho, regulador e seguradora cobram nome técnico assinado, não logo de fornecedor.
Sem parecer defensável
Defesa ad hoc
Sem documento prévio, a defesa do incidente é improvisada e perde força jurídica.
Sem garantia em contrato
Refazimento por fora
Retrabalho de segurança vira projeto novo, com novo escopo e novo custo.
Com Hardenn
Nome, parecer e garantia
Cada entrega crítica tem engenheiro responsável, parecer arquivado e refazimento previsto em contrato.
Evidência de mercado
Dados públicos que sustentam a tese.
ANPD
Pressão regulatória crescente
Autoridade Nacional de Proteção de Dados aplica sanções administrativas crescentes a controladores e operadores no Brasil.
ANPDBCB 4.893
Risco operacional explícito
Resolução do Banco Central exige política de segurança cibernética e responsabilização nominal em instituições financeiras.
Banco Central do BrasilISO 27001
Padrão internacional consolidado
Norma internacional de gestão de segurança da informação adotada como referência por auditorias e contratos enterprise.
ISOMecanismo
Como esta postura se converte em entrega.
01
Leitura
Diagnóstico técnico do contexto, ameaças plausíveis e dívida acumulada antes de qualquer entrega.
02
Projeto
Arquitetura assinada por engenheiro responsável, com critérios de aceite explícitos e parecer arquivado.
03
Construção
Código revisado por par sênior, com checagens automatizadas de segurança e qualidade em cada entrega.
04
Sustentação
Cadência de revisão, observabilidade e plano de resposta documentado, com responsável nominal.
Pilares
Princípios que organizam o trabalho.
P1
Responsável técnico nominal
Toda decisão crítica é assinada por um engenheiro com nome, registro e responsabilidade reconhecida em contrato.
P2
Parecer defensável
Cada projeto entrega documentação técnica que sustenta a decisão diante de conselho, regulador e segurador.
P3
Garantia em dobro
Quando a entrega não cumpre o critério acordado, refazemos sem custo e absorvemos o tempo dobrado.
P4
Risco partilhado
Cláusulas contratuais explícitas de SLA, refazimento e penalidade quando o critério público não é cumprido.
P5
Disciplina de método
Quatro tempos formalizados: leitura, projeto, construção segura e sustentação, com cadência fixa.
P6
Independência técnica
Não somos revenda de ferramenta, não somos braço de fornecedor cloud. A recomendação responde ao seu risco.
Trajetória
Marcos da postura assumida.
Origem
Incômodo com promessa sem mecanismo de cumprimento
Hardenn nasce da constatação de que a maioria dos contratos de software crítico não tem nome técnico assinando.
- Posicionamento de engenharia crítica
- Recusa do modelo body shop
Tese
Engenharia de software crítico com responsável técnico nominal
Formalização da tese fundadora e dos princípios públicos que regem a entrega.
- Tese publicada
- Princípios de engenharia versionados
Método
Quatro tempos como disciplina contratual
Leitura, projeto, construção segura e sustentação viram cláusulas, não slogans.
- Critérios de aceite explícitos
- Cadência de revisão fixada
Garantia
Compromisso público de critério
Garantia em dobro na consultoria e risco zero no diagnóstico passam a constar em contrato.
- Refazimento previsto
- SLA por severidade
Hoje
Atendimento a setores regulados
Operação em ambientes onde existe conselho, regulador e seguradora pedindo evidência.
- Parecer arquivado por projeto
- Trust center público
Manifesto
O que defendemos publicamente.
Software crítico não tolera promessa sem mecanismo. Quem assume responsabilidade técnica precisa ter nome, parecer e cláusula contratual de refazimento.
Recusamos a lógica de body shop, a estética de painel sem critério e o discurso de inviolabilidade. A engenharia que defendemos é a que responde a conselho, regulador e segurador com documento.
Operamos com cadência, evidência e linguagem técnica direta. Quando o critério público não é cumprido, refazemos. Quando o cliente não enxerga valor no diagnóstico, devolvemos.
Hardenn · Engenharia de software crítico
Autoridade externa
O que terceiros já registraram sobre o tema.
“Software seguro exige disciplina de engenharia, não apenas ferramentas de segurança bolted-on no final do ciclo.”
NIST Secure Software Development Framework
NIST SSDF“Organizações com programa formal de segurança de aplicações reduzem materialmente o tempo de identificação e contenção.”
IBM Cost of a Data Breach 2024
IBM“A maior parte das violações envolve elementos humanos: erro, abuso de privilégio ou engenharia social.”
Verizon Data Breach Investigations Report
Verizon DBIR 2024Material
Checklist · responsabilidade técnica em contratos de software crítico.
Os 12 pontos que conselho, regulador e segurador esperam encontrar quando o incidente acontece.
Quiz · aderência
Sua organização opera no mesmo padrão?
Existe um responsável técnico nominal pelas decisões críticas do seu software?
Suas decisões de arquitetura têm parecer técnico arquivado, defensável diante de auditor?
Há cláusula explícita de refazimento e SLA por severidade no contrato com seu fornecedor?
O ciclo de entrega passa por revisão de par sênior e checagens automatizadas de segurança?
Diagnóstico
O que acontece quando você nos procura.
Etapa 01
Conversa inicial
Leitura do contexto, restrições regulatórias e dores reais, sem demo de produto.
Etapa 02
Diagnóstico técnico
Análise de arquitetura, dívida, riscos e janela de exposição em até duas semanas.
Etapa 03
Parecer e plano
Entrega de parecer arquivável e plano de evolução com critérios de aceite explícitos.
Etapa 04
Decisão informada
Você decide seguir, pausar ou levar o plano para outro fornecedor, sem amarra.
Perfis atendidos
Quem conduz a conversa, o foco e o entregável.
CEO / Conselho
Foco
Risco material, exposição reputacional e responsabilidade do colegiado.
Entregável
Parecer executivo com risco quantificado e recomendação assinada.
CTO / CISO
Foco
Arquitetura, dívida técnica, política de segurança e capacidade de resposta.
Entregável
Mapa de controles, plano de evolução e cadência de revisão.
Jurídico / Compliance
Foco
LGPD, regulação setorial, contratos com fornecedores críticos.
Entregável
Cláusulas modelo, registro de tratamento e matriz de responsabilidade.
Conversa
Diagnóstico de responsabilidade técnica em até 14 dias.
Leitura objetiva da sua exposição contratual e regulatória, com parecer arquivável.
Benefícios práticos
O que você passa a ter ao adotar essa postura conosco.
Defesa pronta
Parecer técnico arquivado para apresentar a regulador, auditor, segurador e conselho.
Decisão assinada
Nome técnico assumindo responsabilidade pela recomendação, em contrato.
Refazimento garantido
Quando o critério não é cumprido, refazemos sem custo adicional, em prazo dobrado.
Cadência previsível
Ritmo definido de revisão técnica, sem desaparecer após o handoff.
Independência
Recomendação não atada a revenda de ferramenta ou comissão de fornecedor.
Linguagem direta
Comunicação técnica sem floreio, sem termos de marketing, sem promessa de inviolabilidade.
Garantia pública
Compromissos que assumimos antes de você assinar.
Risco zero no diagnóstico
Se o diagnóstico não trouxer informação útil para a sua decisão, ele não é cobrado.
Garantia em dobro na consultoria
Quando o critério público da entrega não é cumprido, refazemos sem custo e absorvemos prazo dobrado.
Cláusula contratual de responsabilidade
Cada projeto crítico tem responsável técnico nominal assinando a entrega no contrato.
Trust center público
Postura de segurança, comunicação de incidente e janela editorial publicadas e versionadas.
Perguntas frequentes
Dúvidas honestas, antes da conversa.
Não. Operamos como engenharia de software crítico, com responsável técnico nominal e parecer arquivado por entrega. Recusamos o modelo body shop.
Próximo passo
Quando o software é crítico, alguém precisa assinar.
Converse com um engenheiro Hardenn sem demo, sem pitch e sem promessa. Apenas leitura técnica do seu contexto.