{"id":170021,"date":"2021-03-18T09:44:07","date_gmt":"2021-03-18T09:44:07","guid":{"rendered":"https:\/\/sofialocks.com\/security-and-data-protection-psti\/"},"modified":"2026-03-30T07:03:31","modified_gmt":"2026-03-30T07:03:31","slug":"security-and-data-protection-psti","status":"publish","type":"page","link":"https:\/\/sofialocks.com\/pt-pt\/security-and-data-protection-psti\/","title":{"rendered":"Seguran\u00e7a e Prote\u00e7\u00e3o de Dados (PSTI)"},"content":{"rendered":"\n
\n
\n
\n
\n

OPEN SOURCE PARA APOIAR A SEGURAN\u00c7A<\/h2>\n\n\n\n

Acreditamos ser estrat\u00e9gico confiar em componentes de software Open Source amplamente mantidos e consolidados, evitando, sempre que poss\u00edvel, solu\u00e7\u00f5es personalizadas que sejam dif\u00edceis de manter e n\u00e3o tenham sido extensivamente testadas. As abordagens \u201cnot invented here<\/em>\u201d e \u201csecurity through obscurity<\/em>\u201d n\u00e3o fazem parte da nossa cultura, e muito menos dos nossos sistemas. <\/p>\n<\/div><\/div>\n<\/div>\n\n\n\n

\n
\n
\"\"<\/figure>\n<\/div><\/div><\/div>\n<\/div>\n<\/div>\n<\/div><\/div>\n\n
\n
\n
\n

BOAS PR\u00c1TICAS INFRAESTRUTURAIS E DE APLICA\u00c7\u00c3O<\/h2>\n\n\n\n

Fiabilidade, escalabilidade e seguran\u00e7a foram as raz\u00f5es que nos levaram a escolher o fornecedor de Cloud l\u00edder de mercado como parceiro de refer\u00eancia para os nossos sistemas Cloud. A seguran\u00e7a das aplica\u00e7\u00f5es lan\u00e7adas na AWS \u00e9 garantida atrav\u00e9s da ado\u00e7\u00e3o das melhores pr\u00e1ticas recomendadas pelo pr\u00f3prio fornecedor de Cloud, desde a encripta\u00e7\u00e3o de dados (em primeiro lugar ao n\u00edvel da base de dados, bem como no armazenamento de objetos e em qualquer outro suporte de dados \u201cat rest<\/em>\u201d) at\u00e9 \u00e0 comunica\u00e7\u00e3o entre servi\u00e7os (sempre em VPCs internas e estritamente atrav\u00e9s de canais SSL seguros) e \u00e0 autentica\u00e7\u00e3o de utilizadores (atrav\u00e9s do padr\u00e3o OAuth 2.0 para utilizadores do sistema e single sign-on empresarial com autentica\u00e7\u00e3o de v\u00e1rios fatores para o funcion\u00e1rio que interv\u00e9m na infraestrutura). <\/p>\n<\/div><\/div>\n<\/div>\n<\/div>\n\n

\n
\n
\n

INFRASTRUCTURE-AS-CODE E RESILI\u00caNCIA<\/h2>\n\n\n\n

Toda a infraestrutura \u00e9 gerida atrav\u00e9s de uma \u201cabordagem declarativa\u201d na defini\u00e7\u00e3o de recursos e na sua configura\u00e7\u00e3o: isto permite procedimentos robustos e autom\u00e1ticos de \u201cdisaster recovery<\/em>\u201d, que permitem minimizar o Recovery Time Objective (RTO) e o Recovery Point Objective (RPO) em caso de falha distribu\u00edda. Tendemos a testar periodicamente estes procedimentos para garantir que est\u00e3o atualizados e corretos, encomendando avalia\u00e7\u00f5es peri\u00f3dicas a consultores de Ciberseguran\u00e7a externos \u00e0 organiza\u00e7\u00e3o, para validar as escolhas tecnol\u00f3gicas e as medidas implementadas para defender o per\u00edmetro da plataforma. <\/p>\n<\/div><\/div>\n<\/div>\n<\/div>\n\n

\n
\n
\n
\n

PROTE\u00c7\u00c3O DO PER\u00cdMETRO DA EMPRESA<\/h2>\n\n\n\n

A seguran\u00e7a dos computadores e dispositivos da empresa \u00e9 garantida atrav\u00e9s da encripta\u00e7\u00e3o de disco, identifica\u00e7\u00e3o biom\u00e9trica do funcion\u00e1rio e gest\u00e3o remota completa da frota de dispositivos. A autentica\u00e7\u00e3o do pessoal para acesso aos servi\u00e7os internos e externos da empresa ocorre, sempre que tecnicamente vi\u00e1vel, via Single Sign-On (SSO) atrav\u00e9s do Google Suite Business: isto garante-nos um ponto \u00fanico de acesso \u00e0s comunica\u00e7\u00f5es e sistemas corporativos, com pol\u00edticas rigorosas de renova\u00e7\u00e3o de palavras-passe e identifica\u00e7\u00e3o de v\u00e1rios fatores. As chaves de acesso a sistemas que n\u00e3o suportam a integra\u00e7\u00e3o com o nosso fornecedor de SSO s\u00e3o partilhadas atrav\u00e9s de um servi\u00e7o dedicado de gest\u00e3o de segredos, que, por sua vez, s\u00f3 pode ser acedido atrav\u00e9s do SSO corporativo. <\/p>\n<\/div><\/div>\n<\/div>\n\n\n\n

\n
\n
\"\"<\/figure>\n<\/div><\/div><\/div>\n<\/div>\n<\/div>\n<\/div><\/div>\n\n
\n
\n
\n
\n

PARTI\u00c7\u00c3O DE DADOS E GEST\u00c3O DE SEGREDOS<\/h2>\n\n\n\n

Os ambientes de produ\u00e7\u00e3o e desenvolvimento s\u00e3o f\u00edsica e logicamente independentes, permitindo-nos limitar severamente o acesso a dados reais de utilizadores apenas ao pessoal estritamente autorizado para atividades de manuten\u00e7\u00e3o de aplica\u00e7\u00f5es e infraestruturas. O c\u00f3digo da aplica\u00e7\u00e3o e os segredos necess\u00e1rios para aceder aos sistemas s\u00e3o sempre geridos de forma independente, utilizando procedimentos autom\u00e1ticos para a reconcilia\u00e7\u00e3o de refer\u00eancias a segredos durante as fases de lan\u00e7amento de software nos seus respetivos ambientes. A utiliza\u00e7\u00e3o de um servi\u00e7o de gest\u00e3o de segredos fi\u00e1vel e centralizado (baseado numa arquitetura \u201czero knowledge<\/em>\u201d) permite-nos automatizar a gest\u00e3o das chaves de acesso e a sua rota\u00e7\u00e3o peri\u00f3dica. <\/p>\n<\/div><\/div>\n<\/div>\n\n\n\n

\n
\n
\"\"<\/figure>\n<\/div><\/div><\/div>\n<\/div>\n<\/div>\n<\/div><\/div>\n\n
\n
\n
\n

AUDITORIA E REGISTO DISTRIBU\u00cdDO<\/h2>\n\n\n\n

Qualquer atividade do utilizador no sistema \u00e9 monitorizada atrav\u00e9s de registos (logs) de aplica\u00e7\u00e3o e de sistema: por um lado, a monitoriza\u00e7\u00e3o da atividade pode ajudar na resolu\u00e7\u00e3o de problemas, fornecendo um hist\u00f3rico preciso das atividades realizadas e das respetivas responsabilidades de programadores, administradores de sistema e\/ou utilizadores finais; por outro lado, garante a conformidade da nossa plataforma com as regras mais recentes impostas pelo RGPD.<\/p>\n<\/div><\/div>\n<\/div>\n<\/div>\n\n

\n
\n
\n

OUTRAS CONSIDERA\u00c7\u00d5ES SOBRE A QUEST\u00c3O DO RGPD<\/h2>\n\n\n\n

Todas as atividades descritas at\u00e9 agora garantem os padr\u00f5es de seguran\u00e7a exigidos pelo Regulamento Geral sobre a Prote\u00e7\u00e3o de Dados (RGPD) em qualquer fase do desenvolvimento e manuten\u00e7\u00e3o do sistema. Al\u00e9m das escolhas t\u00e9cnicas que visam minimizar o risco, o tratamento dos dados \u00e9 garantido respeitando os princ\u00edpios de licitude estabelecidos no Regulamento, em particular: <\/p>\n\n\n\n