Staff / Principal Architect  ·  Engineering Manager  ·  Cibersegurança  ·  AI Engineering

Arquitetura, segurança e confiabilidade em fintech e banking sob regulação. 18 anos em tecnologia, 9 deles em cibersegurança. O que está aqui roda com um comando, em máquina limpa, sem chave de API e sem conta em nuvem.

_{✡︎ אֱמֶת
emet, verdade. O que um sistema diz quando ninguém está olhando.}

Histórico de incidente virando decisão de triagem. Minera padrão recorrente em postmortem e devolve a árvore de decisão que um plantonista usa às 3h da manhã. Baseline determinístico primeiro, modelo depois, e só se a medição mostrar ganho.

Na base de referência, 8 padrões explicam 90% de 20 incidentes, com triagem em 15 ms e profundidade de árvore 4.

Escala de plantão que respeita calendário hebraico sem penalizar ninguém. As fronteiras de turno saem de zmanim astronômicos calculados na hora, não de tabela chumbada. O allocator reparte carga ponderada entre quem observa e quem não, e prova a justiça com métrica.

Numa escala de 92 dias, índice de justiça de Jain 0,9998, spread de carga 1,0 e nenhuma violação de restrição. Calendário hebraico e zmanim implementados do zero, com zero dependência de runtime.

Governança de acesso que nomeia a procedência de cada achado. SoD, privilege reachability cross-account, ciclo JML e recertification sobre dataset sintético multi-conta. Cada violação diz quais dois entitlements colidem e qual cadeia de grupo os trouxe. Cada escalonamento imprime o caminho inteiro, aresta por aresta.

No dataset sintético, 37 violações de SoD em 4 severidades, 12 caminhos de escalonamento cross-account e 9 alvos sensíveis alcançáveis. Dashboard interativo, editor de cenário e restore em um clique, com demo no ar. CI com Semgrep, CodeQL e pip-audit.

Framework de governança virando controle executável. ITIL 4 e COBIT 2019 normalmente rendem documento de aderência. Aqui cada exigência é uma função pura que lê inventário de observabilidade e devolve verdict, com a evidência crua que sustentou a conclusão anexada.

30 controles, 16 deles obrigatórios, cobrindo 7 práticas ITIL e 9 objetivos COBIT. Um único MUST reprovado trava a prática no nível 1 e o controle responsável é nomeado, em vez de diluído numa média que esconde o problema. SKIP nunca conta como PASS, e todo waiver exige dono e validade. Dashboard com editor de cenário e demo no ar, sem dependência de runtime nem build step. Release com SBOM e atestação de proveniência.

Todo repositório nasce com a mesma esteira, e ela é bloqueante. A cobertura tem ratchet, ou seja, só sobe. CodeQL bloqueia merge.

flowchart LR
  A["Sanitização de segredo"] --> B["Lint e format"]
  B --> C["Teste em matriz de versão"]
  C --> D["Cobertura com ratchet"]
  D --> E["SAST Semgrep"]
  E --> F["CodeQL bloqueante"]
  F --> G["SCA de dependência"]
  G --> H["Quality gate SonarQube"]
  H --> I["SBOM"]
  I --> J["Atestação de proveniência"]
  J --> K["Merge liberado"]

_{O contexto de cada frente está no LinkedIn.}

Cada mapa abaixo é uma frente que eu opero. Estão como diagrama e não como lista porque a relação entre os elementos é parte da competência.

flowchart TD
  ID["Identidade e acesso"] --> IGA["IAM e IGA em SailPoint"]
  ID --> SSO["SSO com SAML, OAuth 2.0 e OIDC"]
  ID --> PAM["PAM para acesso privilegiado"]

  IGA --> JML["Ciclo JML: joiner, mover, leaver"]
  IGA --> MODELO["Modelo de autorização"]
  MODELO --> RBAC["RBAC por grupo"]
  MODELO --> ABAC["ABAC por atributo"]
  IGA --> REV["Access review e recertificação"]
  REV --> SOD["Segregação de funções e SoD"]

  APP["AppSec e DevSecOps"] --> TM["Threat modeling"]
  APP --> SSDLC["SSDLC com gate de merge"]
  SSDLC --> SAST["SAST"]
  SSDLC --> DAST["DAST"]
  SSDLC --> SCA["SCA"]
  APP --> ZT["Zero Trust"]
  APP --> CRIPTO["TLS 1.3, mTLS e certificate pinning"]

  CONF["Conformidade regulada"] --> N1["ISO 27001 e PCI-DSS"]
  CONF --> N2["LGPD e NIST CSF"]
  CONF --> N3["BACEN, COBIT e ITIL"]

flowchart LR
  IN["Entrada do usuário"] --> GUARD["Guardrail de entrada"]
  GUARD -->|"bloqueia prompt injection"| NEG["Recusa registrada"]
  GUARD --> RAG["RAG sobre base própria"]
  RAG --> AG["Agente com orquestração auditável"]
  AG --> MCP["MCP federando ferramenta"]
  AG --> BASE["Baseline determinístico"]
  BASE --> CMP["Comparação contra baseline"]
  CMP --> HUM["Gate humano"]
  HUM --> LED["Ledger de decisão"]
  LED --> OPS["LLMOps e MLOps: custo, latência e variância"]
  OPS --> EVAL["Gate de regressão de qualidade"]

  AG --> PROV["Provedor de modelo"]
  PROV --> BR["AWS Bedrock"]
  PROV --> OA["OpenAI"]
  PROV --> AN["Anthropic"]
  AG --> ORQ["Orquestração"]
  ORQ --> LC["LangChain"]
  ORQ --> N8["n8n"]
  ORQ --> SPEC["Spec-driven development"]

flowchart LR
  subgraph OBS["Confiabilidade e observabilidade"]
    SLI["SLI e SLO"] --> INC["Incident response"]
    INC --> PM["Postmortem e MTTR"]
    PM --> DORA["Métricas DORA"]
    DD["Datadog: APM, log e métrica"] --> SLI
  end

  subgraph INFRA["Infraestrutura"]
    AWS["AWS"] --- AZ["Azure"]
    K8S["Kubernetes e Docker"] --> TF["Terraform"]
    TF --> GHA["GitHub Actions"]
  end

  subgraph DEP["Entrega"]
    CAN["Deploy canary"] --> BG["Blue-green"]
    BG --> RB["Rollback"]
  end

  INFRA --> DEP
  DEP --> OBS

flowchart TD
  ARQ["Arquitetura de software"] --> LIMPA["Clean Architecture e Hexagonal"]
  ARQ --> DOM["DDD e SOLID"]
  ARQ --> DIST["Microsserviços e event-driven"]
  LIMPA --> STACK["Java e Java EE, Kotlin, Spring, Python"]
  DIST --> STACK
  STACK --> MOB["Mobile nativo Android e iOS"]

  GEST["Engenharia de gestão"] --> TIME["Time de 10 a 15 pessoas"]
  GEST --> MET["OKR e DORA reportados a C-Level"]
  GEST --> PES["1:1, PDI e trilha de carreira"]
  GEST --> QUAL["Recrutamento e code review"]

Quatro decisões aparecem em tudo que eu entrego, e são o que eu levo para um time.

Hoje, Engineering Staff, AI Engineering Lead, SRE e Cibersegurança na Luby. Fábrica de software com agentes de IA auditáveis, spec-driven development, guardrail por hook, MCP federando ferramentas, RAG e LLMOps. Threat modeling voltado a LLM: prompt injection, data leakage, exfiltração.

Antes: Creditas · Compass UOL · PicPay · PagoNxt (Santander) · Mercado Pago · Itaú Unibanco · Foursys · Soluti (Autoridade Certificadora).

Da camada física à governança. Comecei em suporte N1, N2 e N3 em telecom, passei por gestão de infraestrutura on-premise, desenvolvimento backend, mobile Android e iOS, e entrei em cibersegurança numa Autoridade Certificadora, onde confiança, criptografia e conformidade são o produto. Camada por camada, do hardware ao código à governança. É daí que vem a leitura de ponta a ponta.

_{✡︎ בְּעֶזְרַת הַשֵּׁם
Brasil, SP e GO · julianovincedecampos.com · LinkedIn · Perfil anterior: @JulianoVince}