Você é founder. Escreveu MVP com Cursor + Supabase em 3 semanas. Já tem 200 clientes. Não tem tempo pra "programa de segurança" e ninguém no time é especialista. Este artigo é pra você.

O que NÃO faça

• Contratar consultoria de segurança de R$ 80k no ano 1 — dinheiro caro pro que você tem.
• Comprar 4 ferramentas SAST/DAST enterprise pra rodar sozinho.
• Adiar tudo pra "depois da série A" — 40% das startups que sofrem incidente no ano 1 não chegam à A.

O que faça: 2h/semana

Segunda-feira (30 min): revisão do backlog

Toda feature nova entra em uma linha na tabela:

| Feature | Coleta dado sensível? | Envia e-mail/notif? | Faz cobrança? | |---|---|---|---|

Se qualquer coluna é "sim", a feature tem checklist de segurança específico antes de subir.

Quarta-feira (60 min): varredura + correção

Rode uma varredura automatizada no ambiente de produção. A Varredura leva ~60s e retorna as falhas críticas. Priorize P0 (crítica) e P1 (alta) — o resto pode esperar.

Um checklist mínimo do que olhar:

• .env acessível publicamente
• Header CSP ausente
• Endpoint de admin sem MFA
• Log com senha em texto puro
• Chave AWS/Stripe hardcoded

Sexta-feira (30 min): monitoramento

Configure alertas para:

• Aumento anormal de erros 500 (podia ser exploit tentativa).
• Login de admin de IP novo (potential ATO).
• Chamadas de tools do LLM que envolvem dados sensíveis.

O que NÃO precisa ainda

• SOC 2. Você tem 3 clientes pagando. Espera.
• Pentest manual. Espera passar de R$ 500k ARR.
• Bug bounty público. Espera passar de R$ 1M ARR.

O que precisa mesmo

• Um responsável. Mesmo que seja você. Alguém aperta o botão de rodar a varredura toda quarta.
• Um plano de resposta a incidente de uma página. Contato do DPO, do time, da Cloudflare/AWS, do jurídico. Testar uma vez.
• Documentar o "esforço razoável". A LGPD e o cliente empresa vão te perguntar. "Sim, temos varredura semanal + monitoramento + resposta a incidente" é uma frase boa.

O padrão que funciona

Founder A: nada de segurança + incidente no mês 8 + churn de 60% + startup morta.

Founder B: 2h/semana de varredura + monitoramento + resposta rápida quando ocorreu incidente + comunicação transparente + churn de 4% + sobreviveu.

A diferença nunca foi "quanto orçamento". Foi "quantas horas por semana".

TL;DR

• 2h/semana: revisão de backlog + varredura + monitoramento.
• Documente o esforço.
• Não gaste dinheiro em SOC 2 ainda.
• Um responsável definido.

A Varredura é feita pra caber nesses 60 minutos da quarta-feira. Rode agora.