Techstream · Bruxelas
Entrega zero-touch para plataformas reguladas, com a evidência para provar.
Felipe Sotille, Arquiteto e engenheiro DevSecOps
Dezessete anos em engenharia de software, moldados pelo trabalho na SWIFT e na Swissquote; mais recentemente a orquestração de releases zero-touch na SWIFT. Desenho o mesmo para a sua plataforma, e ainda escrevo código.
§ 01, Em números
Fonte: dev.felipe.sotille.com
| 17+anos em engenharia de software | 40+apps Java em orquestração de releases zero-touch | 300+VMs em patching orquestrado, 40% mais rápido | 2,5 biregistros financeiros migrados para Oracle | 100 mil+usuários simultâneos em uma plataforma Kafka/Vert.x |
ExperiênciaSWIFT, Bruxelas (2019–2024; 2025–presente) · Swissquote, Genebra (2024) · Eleven Sports, Lisboa (2018–2019)
Fonte: dev.felipe.sotille.com
§ 02, O gate
Uma política de exemplo, simplificada; não vem de nenhuma plataforma em que trabalhei.
OPA · Rego
Todo release passa pelo mesmo gate. Código escrito por agente incluído.
package release.gate
default allow := false
allow if {
input.sbom.format in {
"CycloneDX", "SPDX"
}
input.artifact.signature.verified
input.scans.sast == "pass"
input.scans.dast == "pass"
# applies to agents too
input.review.human_approvals >= 1
}§ 03, Quem
- Brasil·2008–2018
- Lisboa·2018–2019
- Genebra·2024
- Bruxelas·2019–2024, 2025–
Brasil, Lisboa, Genebra, Bruxelas.
Comecei no Brasil em 2008 escrevendo Java para WPLEX, Metaway, Città e Allcance. Em 2018 liderei o backend da Eleven Sports em Lisboa: CQRS e eventos em Vert.x e Kafka, Kubernetes no GCP, centenas de milhares de interações simultâneas. A partir de 2019 estive na SWIFT em Bruxelas, levando o monólito de Identity Management para microsserviços com o serviço no ar.
Em 2024 liderei uma migração de 2,5 bilhões de registros para Oracle na Swissquote. Desde 2025 estou de volta à SWIFT como DevSecOps Architect (Customer Success Architect), integrando 40+ apps Java à orquestração de releases zero-touch. Lá entrego em modo agent-first, e o meu próprio trabalho com agentes de código segue tarefas com escopo, revisão humana e os mesmos gates de segurança que o código escrito por pessoas. A versão longa está na página sobre mim.
§ 04, O que eu faço
Escopo fechado: 04, 05
Seis coisas que eu faço, e o que você tem no final de cada uma.
- 01
Orquestração de releases e desenho de plataforma de entrega segura
Um pipeline que os times seguem porque sai mais barato do que contornar.
- 02
Segurança da cadeia de suprimentos de software e evidência para auditoria
Evidência que um auditor lê sem precisar de reunião.
- 03
Agentes de código sob governança
Tarefas com escopo, regras de revisão e gates que tratam código de agente como código.
- 04
Avaliação de maturidade DevSecOps
Uma pontuação por domínio e um roadmap priorizado, em duas semanas.
- 05
Workshops e coaching
Um time que roda o pipeline sem mim, em dois dias.
- 06
Engenharia hands-on
Java 21 e Spring na Swissquote, Vert.x e Kafka em escala.
§ 05, Trabalho aberto
Apache-2.0
Nove frameworks, Apache-2.0, publicados pela Techstream.
- 01
DevSecOps Framework
Estabelece princípios, ciclo de vida e SDLC seguro, com controles ao longo do pipeline.
- 02
Secure CI/CD Reference Architecture
Um modelo de ameaças do pipeline, com controles para SAST, DAST, SCA, segredos e IAM do pipeline.
- 03
Release Orchestration Framework
Governa deployments e controla a entrega entre ambientes.
- 04
Software Supply Chain Security Framework
Cobre os quatro pontos em que uma supply chain é atacada: dependências, sistemas de build, artefatos, ambientes de deployment.
- 05
DevSecOps Maturity Model
Cinco níveis em oito domínios, um questionário de pontuação e uma análise de gaps.
- 06
Compliance Automation Framework
Transforma controles em policy as code, coleta a evidência e segue monitorando.
- 07
DevSecOps Methodology
Quatro fases, avaliar, desenhar, implementar, otimizar, com os playbooks de cada uma.
- 08
AI DevSecOps Framework
Protege a entrega assistida por IA e agêntica: agentes de código em pipelines, defesa contra prompt injection, autorização de agentes.
- 09
Forensics & Incident Response Framework
Arquitetura de evidência e playbooks de investigação para incidentes em CI/CD, nuvem, supply chain, identidade e agentes de IA.
O techstream-docs amarra tudo; o techstream-learn tem os labs.
§ 06, De pessoas com quem trabalhei
Três de cinco, no inglês original.
He does not merely automate tasks; he engineers repeatable, resilient delivery systems that improve deployment reliability, enforce secure coding standards and reduce operational risk.
His ability to solve complex technical challenges and deliver scalable solutions in such a demanding environment reflects a deep understanding of modern software engineering practices.
A technical reference and mentor for multiple engineering teams, frequently sought out for guidance on secure software delivery and release orchestration.
§ 07, Escrita
Medium · Techstream Weekly · seis volumes
O que publiquei, e o que ainda estou escrevendo.
- mai. 2026
Why Your AI Agent Is the Next SolarWinds: Supply Chain Security for the Agentic Era
- mai. 2026
The Four Layers of Software Supply Chain Integrity
- abr. 2026
The 4-Phase DevSecOps Transformation
Techstream Weekly
Plataforma, entrega segura e agentes de código, uma vez por semana.
Cinco itens toda sexta, cada um com uma linha de fato e uma de opinião, para quem entrega software em plataformas reguladas. E mais uma coisa minha.
9 de outubro de 2026
Agents under the same gates
Why the first question about coding agents in a regulated pipeline is not “how much” but “which gates”, and what changed this week in supply chain, platform and Java.
§ 08, Me escreva
Me conte o que você está entregando e o que está travando.
Eu mesmo leio e respondo cada mensagem.