Segurança da Informação

Transmissão e acesso

Todo o tráfego é cifrado por HTTPS (TLS), com redirecionamento obrigatório e HSTS.

Senhas guardadas com PBKDF2-SHA256 e sal individual; o sistema nunca envia senha por e-mail.

Primeiro acesso e nova senha por link de uso único, válido por 24 horas, guardado só como resumo criptográfico. Pedidos de link têm limite por e-mail e por endereço, e a resposta não revela se o e-mail existe.

Limite de tentativas de login e sessão de até 12 horas.

Separação dos dados

Acesso por papel (Master ou Usuária), por área e por empresa. Cada empresa enxerga só os próprios dados.

Reportes ao jurídico são sigilosos. Na 360, respostas de pares, liderados e clientes internos aparecem só agregadas.

Exportações e anexos respeitam as mesmas regras de acesso.

Aplicação

Política de segurança de conteúdo que só aceita scripts do próprio site, proteção contra enquadramento (clickjacking) e contra envio de formulários de outros sites (CSRF).

Anexos com tipo e conteúdo conferidos, guardados fora da pasta pública, com acesso restrito e baixados sempre como arquivo.

O serviço roda com usuário próprio e permissões mínimas no servidor, isolado dos demais serviços.

Registro e cópias de segurança

Histórico de quem criou ou alterou cada registro e registro de operações sensíveis.

Backup diário consistente da base e dos anexos, com verificação de integridade, retenção de 14 diárias e 8 semanais, cópia externa cifrada em disco e restauração testada.

Fale conosco

Encontrou uma vulnerabilidade? Escreva para a definir, pelo e-mail a definir.