Como o Qualiex trata criptografia, monitoramento, vulnerabilidades e incidentes?
Dados protegidos, ambiente monitorado e falhas corrigidas rapidamente reduzem o risco de exposição das informações. Neste artigo, você conhece como o Qualiex criptografa os dados, registra e monitora eventos, gerencia vulnerabilidades e responde a incidentes de segurança.
Criptografia e gestão de chaves
Dados em repouso
Os dados armazenados são protegidos por criptografia AES de 256 bits, gerenciada pela Microsoft. Essa criptografia é aplicada de forma transparente pelo Azure Storage e abrange todos os dados dos módulos do sistema, arquivos da aplicação e bancos de dados.
Referência técnica oficial: Criptografia do Armazenamento do Azure.
Dados em trânsito
Toda a comunicação entre usuário e servidor é criptografada via TLS, no mínimo na versão 1.2. Transferências de dados para suboperadores também utilizam criptografia segundo os padrões mais seguros do mercado (no mínimo TLS 1.2).
Senhas
As senhas dos usuários são armazenadas com criptografia SHA-256.
Gestão de chaves
A gestão das chaves de criptografia, tanto em repouso quanto em trânsito, segue os mecanismos nativos do Microsoft Azure, sem gerenciamento próprio de chaves pela ForLogic.
Logs e monitoramento
Logs do sistema
O sistema gera logs detalhados que incluem:
- Logs de acesso: login, tentativas (incluindo falhas), data, hora e IP.
- Trilha de auditoria: identificação do usuário, data/hora em UTC, valor anterior e valor novo de cada alteração.
- Logs de APIs: registro de requisições suspeitas com análise diária pelo time de segurança.
Os logs de acesso e a trilha de auditoria são acessíveis por usuários administradores diretamente na plataforma.
Observabilidade e monitoramento
A principal ferramenta de observabilidade é o Elastic Stack, utilizado para monitoramento de:
- máquinas virtuais;
- cluster Kubernetes;
- aplicações.
Monitoramento contínuo de segurança
A empresa adota mecanismos de monitoramento contínuo de eventos de segurança, incluindo:
- análise de logs;
- detecção de comportamentos anômalos;
- análise diária de requisições suspeitas.
Monitoramento de capacidade
O ambiente conta com monitoramento contínuo de espaço em disco, com geração automática de alertas ao atingir níveis críticos. Os alertas são enviados diretamente aos responsáveis.
Os eventos são registrados para acompanhamento, notificação, auditoria e atendimento dos incidentes relacionados à capacidade de armazenamento. O desempenho do banco de dados também é monitorado continuamente por meio de ferramentas de observabilidade e indicadores internos.
Retenção de logs e backups
- Backups de bancos de dados: política de retenção de 2 anos.
- VMs e arquivos: retenção conforme a política do Vault no Azure.
- Trilha de auditoria: acessível a administradores diretamente no módulo, sem possibilidade de desativação.
Gestão de vulnerabilidades
Processo contínuo
A ForLogic mantém um processo contínuo de gerenciamento de vulnerabilidades, que inclui:
- varreduras periódicas automatizadas de vulnerabilidades;
- análise de riscos com priorização baseada em criticidade e impacto ao negócio;
- aplicação de patches de segurança;
- monitoramento de CVEs críticas;
- hardening de sistemas;
- revisões periódicas de configuração.
Ferramentas de análise
As ferramentas utilizadas para identificação de vulnerabilidades são:
- Dependency-Check: vulnerabilidades em pacotes e dependências.
- OWASP ZAP: testes de vulnerabilidade web.
- SonarQube: qualidade de código e quality gate.
- WAF: detecção de exploits web.
- Pentests: testes de penetração abrangentes.
Pentests
São realizados pentests externos periodicamente, no mínimo uma vez ao ano. Além dos pentests externos, são realizados pentests internos mais pontuais.
Autorização para testes conduzidos por terceiros
Para que um terceiro conduza pentest nas aplicações da ForLogic, são exigidos:
- Aviso prévio da execução.
- Limitação do escopo, excluindo testes destrutivos ou de interrupção de serviço.
- Execução por terceiro homologado, em ambientes segregados dos ambientes produtivos.
- Envio do relatório de vulnerabilidades primeiramente ao time técnico da ForLogic.
- Janela de execução fora do horário comercial.
Gestão de incidentes
Plano de Resposta a Incidentes
A empresa possui um Plano de Resposta a Incidentes de Segurança formalmente documentado como parte das Políticas de Segurança da Informação.
Resposta a incidentes envolvendo dados pessoais
Há diretrizes formalizadas e publicadas especificamente sobre resposta a incidentes envolvendo dados pessoais, como parte das políticas de segurança e privacidade.