Segurança · Confiança · Práticas de engenharia
Segurança desde a conceção.
Uma visão técnica de como a Infosec Tools protege os dados dos clientes: cifra, isolamento, identidade, segurança aplicacional, registo de auditoria e alinhamento com a ISO 27001:2022, o RGPD e a NIS2.
Nesta página
1. A nossa abordagem
2. Proteção de dados e cifra
3. Isolamento entre clientes
4. Identidade e acessos
5. Segurança aplicacional
6. Infraestrutura e rede
7. Auditoria e responsabilização
8. Cópias de segurança e resiliência
9. Privacidade e alinhamento regulamentar
10. Normas e referenciais
11. Comunicar uma vulnerabilidade
01
A nossa abordagem
A Infosec Tools é construída e operada por profissionais de segurança da informação. A segurança não é uma camada acrescentada por cima: faz parte da forma como o produto é concebido, escrito, implementado e operado todos os dias.
Segurança desde a conceção
- Ameaças consideradas antes de as funcionalidades serem escritas, não depois
- Mínimo privilégio por omissão em cada nova capacidade
- Modos de falha concebidos para falhar fechados, não abertos
- As revisões de segurança fazem parte de cada mudança
Operações orientadas pelo SGSI
- As práticas internas seguem o nosso próprio quadro ISO 27001:2022
- A plataforma que construímos é a plataforma que utilizamos para nos governarmos
- Os processos de incidentes, mudanças, risco e acessos estão documentados
- Práticas revistas e atualizadas à medida que o panorama de ameaças evolui
02
Proteção de dados e cifra
Os dados dos clientes estão protegidos em trânsito e em armazenamento, e nunca são partilhados fora da plataforma.
Cifra em trânsito
- TLS 1.2+ imposto em todas as ligações
- HTTP Strict Transport Security imposto em toda a plataforma
- Os pedidos HTTP são sempre redirecionados para HTTPS
- Conjuntos de cifras modernos disponibilizados na periferia da rede
Cifra em repouso
- Campos sensíveis da base de dados cifrados na camada aplicacional
- Cópias de segurança cifradas em repouso pelo prestador de armazenamento
- Segredos guardados fora do código da aplicação, com permissões de ficheiro restritas
- As credenciais nunca são registadas nem devolvidas em respostas da API
Minimização de dados
- Só são recolhidos e tratados os dados necessários ao SGSI
- Sem rastreadores publicitários, sem análise de terceiros
- Nenhum dado partilhado com intermediários de dados ou anunciantes, nunca
- Contactos de outras pessoas ocultados aos perfis que não precisam deles
- Os dados dos clientes nunca são utilizados para treinar sistemas de IA/ML
03
Isolamento entre clientes
Cada cliente funciona num ambiente totalmente separado. Os dados, os ficheiros, as credenciais e a identidade de email são independentes. Não existe uma instância da aplicação partilhada nem uma base de dados partilhada.
Separação em todas as camadas
- Base de dados dedicada por cliente, com as suas próprias credenciais
- Sistema de ficheiros dedicado por cliente, com a sua própria conta de sistema e sem caminhos de escrita partilhados
- Subdomínio dedicado por cliente, com o seu próprio certificado TLS
- Configuração dedicada por cliente: nome, endereço, identidade visual e definições
Sem cruzamento de dados
- As credenciais da aplicação estão limitadas à base de dados do próprio cliente
- Um cliente não pode ler nem escrever os dados de outro cliente, por arquitetura e não por configuração
- O registo de auditoria é mantido por cliente; consultas entre clientes não estão expostas à aplicação
- As cópias de segurança são feitas e repostas por cliente, nunca como uma exportação única em bloco
04
Identidade e acessos
Cada conta está protegida por autenticação forte. As permissões são aplicadas nos controladores do lado do servidor, não apenas na interface do utilizador.
Autenticação
- Autenticação de dois fatores com aplicações de autenticação (Google Authenticator, Authy, 1Password e outras) ou códigos de utilização única
- Regras de palavra-passe impostas em todas as contas
- Redefinição obrigatória no primeiro início de sessão e na rotação iniciada por um administrador
- Limitação de tentativas de início de sessão falhadas por conta e por endereço
- As sessões abertas terminam de imediato quando uma conta é desativada
Segurança das sessões
- Os cookies de sessão têm âmbito limitado, são cifrados em trânsito e estão protegidos contra reutilização entre sítios
- Integridade da sessão verificada em cada pedido
- Tempo limite de inatividade imposto; sessões destruídas ao terminar sessão
- Identificador de sessão renovado nas mudanças de privilégio
- Fim de sessão automático após inatividade, com um aviso antes de acontecer
Autorização
- Controlo de acessos baseado em funções com vários perfis, incluindo perfis dedicados para Auditores e Fornecedores
- Permissões por página (Ver / Criar / Editar / Eliminar) aplicadas por perfil
- Funções nos fluxos de trabalho independentes dos perfis, para aprovações e responsabilidade
- Perfis só de leitura para auditores, que podem consultar evidências sem alterar nada
- Permissões aplicadas do lado do servidor em cada pedido, não apenas na interface
Operações privilegiadas
- A simulação "Testar como utilizador" regista explicitamente o utilizador original e o utilizador simulado
- As ações administrativas privilegiadas estão sujeitas a salvaguardas adicionais e são verificadas de novo do lado do servidor
- As ações destrutivas exigem tokens CSRF e confirmação
- A desativação de uma conta preserva intacto o registo de auditoria
05
Segurança aplicacional
A aplicação está protegida contra o OWASP Top 10 e é revista continuamente pelos mesmos engenheiros que a constroem.
Ciclo de vida de desenvolvimento seguro
- Ambientes de desenvolvimento, pré-produção e produção separados: as mudanças passam pela pré-produção antes de chegarem à produção
- Cada mudança com controlo de versões, revista e auditada antes da implementação
- As implementações em produção são deliberadas e rastreáveis
- Nenhum dado de clientes utilizado em desenvolvimento ou pré-produção
Injeção e tratamento de dados de entrada
- Consultas parametrizadas em todo o lado; as instruções SQL nunca são concatenadas com dados introduzidos pelo utilizador
- Validação dos dados de entrada do lado do servidor em todos os formulários
- Documentos e evidências carregados validados por tipo e tamanho, guardados fora da raiz web e servidos apenas a quem os pode ver
- Listas de valores permitidos estritas para enumerações e identificadores
Proteções entre sítios
- Tokens CSRF em todos os formulários que alteram dados
- Codificação da saída em todos os valores dinâmicos apresentados em HTML
- Content Security Policy imposta em toda a plataforma
- Dependências de frontend alojadas pela própria plataforma: sem cadeia de fornecimento de scripts de terceiros
Cabeçalhos HTTP de segurança
- Strict-Transport-Security, imposto em toda a plataforma
- X-Frame-Options, imposto
- X-Content-Type-Options, imposto
- Referrer-Policy, imposto
- Permissions-Policy: capacidades sensíveis do navegador recusadas por omissão
- Alinhados com as recomendações atuais da OWASP e do Mozilla Observatory
06
Infraestrutura e rede
A plataforma está alojada num servidor Linux dedicado e protegido, por detrás de uma rede de distribuição de conteúdos.
Proteção na periferia
- Uma rede de distribuição de conteúdos à frente da plataforma absorve picos de tráfego e ataques distribuídos
- Uma firewall de aplicações web e a deteção de malware funcionam no servidor
- Os abusos automatizados são detetados e desafiados
- O tráfego é cifrado de ponta a ponta, do navegador até ao servidor
Servidor de origem
- Servidor Linux protegido, mantido com as atualizações em dia
- Gerido sob controlo de mudanças documentado
- Sistema operativo e pacotes da aplicação atualizados com uma cadência regular
- Acesso privilegiado estritamente limitado; serviços não utilizados desativados
Segurança do email
- Correio de saída através de um serviço de email gerido
- SPF, DKIM e DMARC publicados para o domínio de envio
- Tratamento de devoluções e queixas revisto regularmente
Multimédia e recursos
- Vídeos de formação protegidos por URL assinados e com prazo de validade: sem ligações públicas permanentes
- Recursos da aplicação servidos a partir do mesmo domínio
07
Auditoria e responsabilização
Cada ação de um utilizador é registada. Os registos são concebidos para satisfazer as expectativas da ISO 27001:2022 e para poderem ser exportados para auditorias internas e externas.
O que é registado
- Cada ação, registada com autor, data e hora, IP e contexto
- Inícios de sessão, tentativas de início de sessão e eventos de autenticação de dois fatores
- Alterações de permissões e operações privilegiadas
- Criação, alteração, eliminação e exportação de dados
- Aprovações de documentos, confirmações de leitura e ciclos de revisão
Como é preservado
- Os registos de auditoria nunca são editados e são conservados durante o prazo que cada organização define
- Os eventos de simulação mantêm identificáveis o operador e o utilizador simulado
- O histórico é preservado quando os registos são desativados, não destruídos
- Os dados de auditoria podem ser exportados em formatos normalizados para recolha de evidências
08
Cópias de segurança e resiliência
Fazemos diariamente cópias de segurança dos dados dos clientes, guardamo-las de forma independente da produção e testamos que as conseguimos repor.
Estratégia de cópias de segurança
- Cópias de segurança diárias das bases de dados e dos ficheiros carregados
- Guardadas cifradas num local separado, geograficamente isolado da produção
- Conservação de 90 dias imposta por uma política de ciclo de vida
- Âmbito por cliente: cada cliente pode ser reposto de forma independente
Monitorização e recuperação
- Disponibilidade monitorizada externamente, com alertas em caso de falha e estado em tempo real publicado em status.infosectools.info
- Taxas de erro e operações lentas revistas regularmente
- Procedimentos de reposição documentados e exercitados
- Estado do serviço comunicado aos clientes afetados quando relevante
09
Privacidade e alinhamento regulamentar
A privacidade é uma preocupação de primeira linha, não uma lista de verificação. Os dados dos clientes pertencem aos clientes; somos subcontratantes, não proprietários.
RGPD
- Acordo de tratamento de dados disponível mediante pedido
- Direitos dos titulares dos dados respeitados: acesso, exportação, retificação, apagamento, portabilidade
- Privacidade desde a conceção e por omissão
- Os subcontratantes ulteriores estão documentados e são revistos
- Notificação dos clientes afetados em linha com os prazos do artigo 33.º do RGPD
NIS2
- Práticas alinhadas com a Diretiva (UE) 2022/2555 relativa à segurança das redes e da informação
- Gestão de risco, tratamento de incidentes e segurança dos fornecedores tratados como obrigações contínuas
- Fluxo de notificação de incidentes testado e documentado
- Concebida para apoiar clientes que operam em setores regulados pela NIS2
- A plataforma prepara as notificações de incidentes na estrutura que as autoridades pedem
ISO 27001:2022
- A plataforma é construída em torno dos controlos e das cláusulas da ISO 27001:2022
- As operações internas seguem o mesmo SGSI que entregamos aos clientes
- Os controlos do Anexo A orientam o roteiro do produto
- As evidências e os artefactos de auditoria são resultados de primeira linha, não uma reflexão tardia
Subcontratantes ulteriores
- Infraestrutura de alojamento
- Distribuição de conteúdos e proteção na periferia
- Entrega de email
- Armazenamento cifrado de cópias de segurança
- Distribuição de vídeo para os conteúdos de formação
- Os clientes são avisados previamente de alterações relevantes à lista de subcontratantes ulteriores
10
Normas e referenciais
Trabalhamos segundo normas reconhecidas. Somos claros quanto àquilo com que estamos alinhados e àquilo para que estamos certificados.
Norma
ISO 27001:2022
A plataforma é concebida em torno das cláusulas e dos controlos do Anexo A. As práticas internas seguem o mesmo quadro de SGSI.
Regulamento
RGPD
Alinhada com o Regulamento (UE) 2016/679. Está disponível um acordo de tratamento de dados mediante pedido.
Diretiva
NIS2
Práticas alinhadas com a Diretiva (UE) 2022/2555: gestão de risco, tratamento de incidentes e segurança dos fornecedores como obrigações contínuas.
Uma nota sobre certificações. Utilizamos deliberadamente a expressão alinhado com. Quando uma certificação por terceiros tiver sido formalmente obtida, di-lo-emos e indicaremos a ligação para o certificado. Não declaramos certificações que não detemos.
11
Comunicar uma vulnerabilidade
Se considerar que encontrou um problema de segurança na Infosec Tools, informe-nos. Levamos cada comunicação a sério e daremos seguimento.
Encontrou algo? Informe-nos.
Utilize o formulário de contacto para comunicar qualquer potencial problema de segurança. Inclua uma breve descrição, os passos para o reproduzir e as evidências que puder partilhar. Indique [SECURITY] no assunto da mensagem para que seja encaminhada de forma adequada.
Atue de boa-fé. Não aceda, altere ou elimine dados que não sejam seus. Não execute análises automatizadas que possam perturbar o serviço. Conceda-nos um prazo razoável para investigar e corrigir antes de qualquer divulgação pública. Não agiremos contra investigadores que comuniquem problemas de forma responsável.