O que é governança de código?

A governança de código evoluiu de uma coleção de processos manuais para uma prática automatizada orientada por políticas. Isso se deve, em grande parte, ao fato de que bases de código grandes e complexas exigem frameworks de governança que possam ser dimensionados em tamanho e sofisticação.

A revolução do DevOps nos anos 2010 desafiou modelos de governança que dependiam de aprovações manuais e controle centralizado. Atualmente, os sistemas automatizados reforçam os processos, e o conceito de "shift left" fez com que as atividades de segurança e conformidade migrassem para etapas anteriores do ciclo de vida de desenvolvimento de software (SDLC).

O surgimento da IA generativa introduziu uma camada inteiramente nova de governança. Os desenvolvedores agora podem gerar quantidades substanciais de código usando ferramentas de aprendizado de máquina baseadas em grandes modelos de linguagem (LLMs), aumentando drasticamente a velocidade de desenvolvimento. No entanto, a governança de código teve que evoluir para lidar com a qualidade do código das saídas geradas por IA, juntamente com os riscos de segurança associados, preocupações de IP, políticas de uso de modelos, entre outros.

As organizações agora estão implementando políticas de governança que especificam quando o código gerado por IA pode ser usado, como deve ser revisado e quais etapas de validação são necessárias antes da implementação.

Abaixo estão alguns dos componentes mais comuns da governança de código.

Código de baixa qualidade contribui para o acúmulo de dívida técnica, o que, por sua vez, prejudica a escalabilidade do stack tecnológico. Os padrões de codificação definem como os desenvolvedores devem escrever e organizar o código para evitar isso. Esses padrões abrangem áreas como convenções de nomenclatura, formatação, documentação, estrutura de arquivos e melhores práticas específicas de cada linguagem; pequenos problemas que, com o tempo, se acumulam e se tornam um grande problema em uma base de código grande.

Quando todos os desenvolvedores seguem os mesmos padrões, é mais fácil trabalhar com o código. Os engenheiros passam menos tempo decifrando o trabalho uns dos outros e mais tempo criando coisas novas.

Os sistemas de controle de versão definem como as equipes gerenciam alterações no código-fonte. Essas políticas definem fluxos de trabalho para criar branches, mesclar código e escrever mensagens de commit. Os sistemas de controle de versão podem gerar trilhas de auditoria que ajudam a evitar substituições acidentais, ajudando a garantir um histórico claro das alterações. Agora, as equipes sabem quem fez modificações específicas e por quê.

Os processos de avaliação de código exigem que as alterações de software sejam examinadas por outros desenvolvedores antes de serem incorporadas à base de código. As avaliações servem para vários propósitos, incluindo identificar bugs, validar decisões de projeto e compartilhar conhecimento com toda a equipe. Avaliações bem executadas resultam em um software de alta qualidade.

A governança de segurança garante que o software seja desenvolvido e mantido de acordo com os requisitos de segurança e regras de conformidade estabelecidos, de forma que seu desenvolvimento esteja alinhado a uma estratégia mais ampla de gerenciamento de riscos. Isso inclui práticas como varredura de vulnerabilidade de segurança, controles de acesso, gerenciamento de dependências, detecção de segredos, diretrizes de programação segura e avaliações regulares. A governança de segurança integra medidas de proteção durante todo o ciclo de vida de desenvolvimento, não apenas em sua conclusão.

A governança de testes ajuda a garantir que o software atenda a todos os padrões estabelecidos antes de ser implementado. Mas os testes também seguem a abordagem "shift left". Incorporando requisitos de testes nos pipelines de CI/CD, as equipes podem identificar problemas mais cedo e reduzir o risco de introduzir erros em ambientes de produção.

A conformidade e a auditabilidade se concentram em garantir que o software e o processo de desenvolvimento estejam em conformidade com os requisitos regulatórios. Aprovações documentadas, históricos de mudanças e registros de testes são algumas das medidas de conformidade mais comuns que envolvem o código.

Os controles de integração contínua e entrega contínua (CI/CD) regem os processos automatizados usados para implementar software. Esses controles definem quais verificações automatizadas devem ser aprovadas antes que o código possa migrar entre os ambientes. A governança de CI/CD ajuda a garantir que o software que chega à produção atenda aos padrões predefinidos, ao mesmo tempo em que promove a redução de riscos em todas as implementações.

Governança como código (GaC) e política como código (PaC) são abordagens que incorporam governança e aplicação de políticas diretamente em fluxos de trabalho, traduzindo políticas, regras e padrões em código legível por máquina. O objetivo é que cada implementação, alteração de infraestrutura ou solicitação de acesso a dados atenda a critérios predefinidos antes de ocorrer. Essa abordagem proativa de fiscalização depende de tecnologias como mecanismos de políticas, infraestrutura em nuvem e, agora, agentes de IA.

A aplicação de políticas se tornou mais sofisticada por meio de tecnologias como o Open Policy Agent (OPA), que permite que as organizações definam e apliquem políticas de governança de forma programática. Em vez de depender de documentação e aprovações manuais, os requisitos de governança são incorporados ao código para que possam ser aplicados automaticamente em todo o SDLC.

Da mesma forma, a infraestrutura como código (IaC) e ferramentas como o Terraform automatizam o provisionamento e o gerenciamento da infraestrutura de TI usando uma abordagem de linguagem declarativa, na qual os desenvolvedores especificam o estado final desejado em vez das etapas necessárias para alcançá-lo. As definições de infraestrutura são geralmente expressas usando formatos como YAML e JSON, o que facilita a sua automatização e validação.

Ambientes de programação impulsionados por IA podem executar GaC, PaC e IaC. O IBM Bob, por exemplo, pode ser usado para incorporar tais processos ao SDLC.