Plataforma
Serviços
Soluções
Recursos
Empresa
Threat & Program Management
Ferramentas você já tem.
Agora o programa de AppSec também.
SAST, DAST, SCA e gestão de vulnerabilidades já mostram o risco. A Conviso Platform transforma esse risco em programa: ameaça modelada, maturidade medida pelo OWASP SAMM e histórico documentado num lugar só, no lugar da planilha paralela que só uma pessoa sabe atualizar.
Por que o programa ainda vive fora das ferramentas
Programa que vive na planilha
O risco já está mapeado nos seus scanners e no seu backlog de vulnerabilidades. O que ainda não existe é o programa em si: política, papéis, threat modeling e histórico de maturidade documentados num lugar só, e não espalhados em arquivos que ninguém mantém atualizados.
Ameaça modelada uma vez, num workshop
Modelar ameaças exige um especialista e dias de reunião, então acontece no lançamento e raramente de novo. Quando a arquitetura muda, o modelo antigo fica para trás porque refazê-lo custa caro demais.
Maturidade sem evidência
O board e os auditores pedem dados de postura de AppSec. Sem um histórico registrado de forma estruturada e comparável entre um ciclo e outro, a resposta é montada do zero a cada pedido.
Do risco mapeado ao programa documentado
O Threat & Program Management parte do risco que a Conviso Platform já consolidou por ativo, vindo dos scanners da Conviso ou das ferramentas que vocês já usam, e transforma esse risco em ameaça modelada e maturidade de programa, rastreável do ativo ao board.
01
Modele a ameaça, não só o finding
Threat modeling manual ou gerado pela IA a partir do diagrama de arquitetura ou da documentação do produto, conectado ao risco que a Plataforma já tem por ativo. Quando a arquitetura muda, gerar um novo modelo deixa de depender de um novo workshop. A geração a partir da documentação está nos planos Advanced e Enterprise.
02
Meça a maturidade com um framework que o mercado reconhece
A avaliação pelo OWASP SAMM, feita como self-assessment guiado na própria Plataforma ou com especialistas da Conviso, aponta onde o programa está hoje e o que priorizar no próximo ciclo. O resultado fica registrado na Plataforma, comparável com a avaliação anterior.
03
Documente o programa, não a planilha
Política, papéis, backlog de melhoria e histórico de maturidade ficam registrados na Plataforma, versionados e rastreáveis, prontos para quando o board ou o auditor perguntarem.
O que o CISO passa a ter
Um programa documentado que transforma o risco que você já tem em ameaça modelada e em maturidade que se comunica.
A resposta para o board e o auditor já existe
Política de segurança, papéis, backlog de melhoria e histórico do programa ficam registrados na Plataforma, versionados e comparáveis entre ciclos.
O Threat Modeler Assistant tira o gargalo de quem sabe modelar
A IA estrutura o modelo de ameaças a partir da documentação do produto. O especialista revisa e ajusta, em vez de começar do zero. Nos planos Advanced e Enterprise.
Um Security Gate que fala em nome do programa
Política de bloqueio configurável por ativo ou por criticidade, aplicada como regra do programa em todos os repositórios, não como configuração solta de uma ferramenta específica.
Cada dependência inventariada, sem esforço manual
SBOM e XBOM gerados e mantidos a partir dos repositórios. Quando surge uma vulnerabilidade nova num componente, o time consulta quais aplicações usam aquele componente, sem varrer repositório por repositório. O XBOM está nos planos Advanced e Enterprise.
Feito para times com a operação de segurança já rodando
Se o time ainda está começando pelos scans, o ponto de entrada é o AI Secure Code ou o Vuln Intelligence, e o Threat & Program Management entra quando o programa pedir.
Para times de AppSec que querem tirar o programa da planilha
Scans e vulnerabilidades já rodam na Plataforma ou em ferramentas próprias. Política, papéis e threat modeling passam a ficar documentados junto com eles.
Para empresas que precisam provar maturidade ao regulador
Maturidade medida pelo OWASP SAMM, evidências registradas e um programa auditável para Bacen, PCI ou outro regulador.
Para engenharias com vários times e produtos
Threat modeling por produto, Security Gate configurável e cobertura de SBOM, sem processo manual.
Planos para cada estágio do programa
Preço por volume de ativos, faixas anuais, sem surpresa na fatura.
Recurso
Pro
Advanced
Enterprise
Threat modeling manual e gerado a partir do diagrama
✓
✓
✓
Avaliação OWASP SAMM e documentação do programa
✓
✓
✓
SBOM, Security Gate granular e global, dashboards de postura e cobertura
✓
✓
✓
Threat Modeler Assistant e threat modeling a partir da documentação com IA
✓
✓
Construção e gestão do programa de AppSec
✓
✓
XBOM, revisão de falso positivo por IA, Autofix e Reachability
✓
✓
Security Champion Dashboard
✓
✓
SLA de suporte
24h
16h
8h
Funciona com as ferramentas que você já usa
Repositórios e CI/CD
GitHubGitLabAzure DevOpsBitbucketJenkins
Tickets e chat
JiraAzure BoardsSlackMicrosoft Teams
Scanners de terceiros
VeracodeCheckmarxFortifySnykSonarQube
API e automação
API RESTCLI
Perguntas frequentes
Já temos uma ferramenta de scan. Isso substitui?
Não. O Threat & Program Management consolida os resultados dela num único workflow, que responde duas perguntas: qual é o risco da organização a partir das aplicações e em que nível de maturidade está o programa pelo OWASP SAMM.
A IA mantém o modelo de ameaças atualizado sozinha?
Não. A IA gera o modelo a partir da documentação e da arquitetura. Quando a aplicação muda, o time gera um novo modelo, sem precisar de um novo workshop.
Quem conduz a avaliação SAMM?
O próprio time, como self-assessment guiado na Plataforma, ou especialistas da Conviso, quando o programa pedir apoio. Nos dois casos, o resultado fica registrado e comparável entre ciclos.
Isso é um assessment pontual?
Não. O programa é operado e documentado continuamente na Plataforma, e o SAMM é um dos itens, não o produto inteiro.
Serve para quem está começando?
Normalmente não. Para quem ainda não tem scans rodando, o ponto de entrada é o AI Secure Code ou o Vuln Intelligence.
30 minutos para ver
se faz sentido para o seu programa de AppSec
30 minutos com um especialista em AppSecA partir do contexto da sua organizaçãoSem demo genérica