Política de Segurança da Informação
Controles mínimos da operação Manutenção Diária
Identidade e acesso
Contas individuais, perfis por função, menor privilégio, bloqueio de tentativas, sessão protegida e autenticação em dois fatores disponível para o Administrador Global.
Proteção de dados
Segredos de integração são criptografados; senhas usam hash forte; comunicações exigem HTTPS; evidências ficam fora da pasta pública e são entregues somente após autorização.
Desenvolvimento seguro
Alterações devem passar por validação de sintaxe, testes, revisão de permissões e pacote de implantação versionado, com possibilidade de reversão.
Logs e monitoramento
Ações relevantes, acessos, alertas, pagamentos e rotinas automáticas são registrados para investigação e auditoria.
Backups
Backup diário lógico do banco e, quando suportado pelo servidor, das evidências enviadas, com retenção configurável, hash de integridade e teste periódico de restauração.
Incidentes
Eventos devem ser classificados, contidos, investigados e documentados. O Controlador deve avaliar o risco e, quando aplicável, comunicar ANPD e titulares em até três dias úteis do conhecimento, conforme a Resolução CD/ANPD nº 15/2024. Os registros de incidentes com dados pessoais devem ser preservados pelo prazo regulamentar mínimo de cinco anos.