Segurança
Sistemas que enxergam a infraestrutura e lidam com informação de saúde não podem tratar segurança como detalhe. Estas são as práticas que aplicamos no SACI, na Extranet e no PRISMA.
- Desde o inícioOs requisitos de segurança entram no projeto antes do desenvolvimento.
- Em camadasCada aplicação conta com mais de um nível de proteção.
- Acesso mínimoUsuários e sistemas recebem apenas as permissões necessárias.
- MonitoramentoO ambiente é acompanhado de forma contínua.
Identidade e acesso
Quem entra é quem diz ser, e só vê o que precisa.
Autenticação forte
Além da senha, um segundo fator confirma a identidade de quem acessa.
Identidade centralizada
O acesso usa as contas corporativas já existentes, sem cadastros paralelos nem senhas espalhadas.
Permissão por perfil
Cada pessoa acessa apenas as funções e os dados que o seu papel exige, seguindo o princípio do menor privilégio.
Proteção contra automação
Barreiras impedem robôs e tentativas repetidas de acesso indevido.
Sessões controladas
Sessões expiram por inatividade e podem ser encerradas a qualquer momento.
Comunicação e exposição
O que circula é protegido, e o que fica exposto é o mínimo possível.
Tráfego criptografado
Toda comunicação entre o navegador e as aplicações é cifrada, com certificados válidos e acompanhados.
Camada de proteção na entrada
As aplicações não ficam expostas diretamente: todo acesso passa por uma camada intermediária que filtra e encaminha.
Superfície mínima
Só o estritamente necessário fica acessível de fora; o restante permanece restrito à rede interna.
Manutenção controlada
Em janelas de manutenção, o acesso é suspenso de forma controlada, sem expor detalhes do ambiente.
Aplicação e código
Segurança tratada como requisito de desenvolvimento, não como acessório.
Proteções nativas do framework
Defesas contra falsificação de requisições, injeção de comandos e conteúdo malicioso nas páginas.
Validação de entradas
Tudo o que chega do usuário é validado antes de ser processado ou armazenado.
Segredos protegidos
Senhas nunca são guardadas em texto aberto, e credenciais ficam fora do código-fonte.
Ações sensíveis registradas
Operações críticas exigem permissão específica e deixam rastro.
Dados e privacidade
Informação de saúde e de infraestrutura recebe o máximo de cuidado.
Alinhamento à LGPD
Coleta e uso de dados pessoais limitados à finalidade de cada sistema.
Minimização
Cada tela mostra apenas os dados necessários para a tarefa.
Consultas auditadas
O acesso a informações sensíveis fica registrado e pode ser revisado.
Ambientes separados
Desenvolvimento, testes e produção são isolados; dados reais não saem da produção.
Cópias de segurança
Os dados contam com rotinas de backup e recuperação.
Operação e monitoramento
O ambiente é observado o tempo todo, e não só quando algo dá errado.
Vigilância contínua
Eventos de segurança e de disponibilidade são monitorados e geram alertas.
Trilha de auditoria
Ações relevantes ficam registradas para investigação e conformidade.
Servidores endurecidos
Sistemas atualizados, configurados com o mínimo necessário e revisados periodicamente.
Ciclo de vida acompanhado
Sistemas operacionais e certificados próximos do vencimento ou do fim de suporte são identificados com antecedência.
Testes e verificações
- Verificações periódicasRodadas de verificação de segurança são feitas periodicamente em todos os ambientes.
- Testes de intrusãoA própria equipe conduz testes de intrusão para encontrar falhas antes que outros encontrem.
- Auditorias internasConfigurações, acessos e registros passam por auditorias internas.
Documentação
Cada aplicação é documentada do uso à operação.
- Manuais de usoOrientam quem usa os sistemas no dia a dia.
- Manuais técnicos e de operaçãoCobrem instalação, manutenção e suporte.
- Diagramas de arquiteturaMostram os componentes de cada aplicação e como se conectam.
- Diagramas de sequênciaDescrevem os fluxos entre usuário, aplicação e serviços.
- Design de interfaceProtótipos e guia visual mantêm a consistência das telas.
- Procedimentos e recuperaçãoProcedimentos operacionais e planos para restabelecer o serviço.
- Histórico de versõesRegistro das mudanças feitas a cada entrega.