GeneralBots/botbook
2
2
Fork 0
Code Issues Pull requests Projects Releases Packages Wiki Activity Actions
botbook/docs/index.md

10 KiB
Raw Blame History

slug title sidebar_label sidebar_position
/ Pragmatismo Compliance Home 1

1. Introdução ao Framework de Compliance

Seja bem-vinda(o) ao Framework de Compliance da Pragmatismo. Este documento representa nosso compromisso com a excelência operacional e conformidade regulatória no desenvolvimento e operação do General Bots e todos os nossos sistemas de tecnologia. Este framework foi desenvolvido para garantir que todas as operações da empresa estejam em conformidade com as normas ISO 27001, HIPAA e LGPD, assegurando a proteção de dados, a privacidade e a segurança da informação.

Caso identifique um padrão positivo em nossas atividades que possa ser generalizado ou tenha sugestões para aprimorar nosso framework de compliance, envie um e-mail para metodologia@Pragmatismo para avaliação. Opte sempre por descentralizar o conhecimento, editando estes artigos e compartilhando os métodos de trabalho mais seguros, eficazes e em conformidade com os padrões regulatórios.

1.1 Objetivo do Framework

Este framework tem como objetivo:

  1. Estabelecer Conformidade: Garantir que todas as operações da Pragmatismo estejam em conformidade com ISO 27001, HIPAA e LGPD;
  2. Proteger Dados: Implementar controles técnicos e administrativos para proteger dados sensíveis;
  3. Gerenciar Riscos: Identificar, avaliar e mitigar riscos de segurança da informação;
  4. Criar Cultura de Segurança: Promover uma cultura organizacional que valorize a segurança da informação;
  5. Garantir Continuidade de Negócios: Implementar procedimentos para garantir a resiliência operacional.

1.2 Escopo de Aplicação

Este framework se aplica a:

  1. Todos os colaboradores da Pragmatismo;
  2. Sistemas e plataformas de desenvolvimento do General Bots;
  3. Processos de desenvolvimento de software;
  4. Infraestrutura de TI e operações;
  5. Gestão de dados e informações dos clientes;
  6. Relacionamento com fornecedores e parceiros.

1.4 Normas Gerais de Compliance

  1. Todas as atividades da companhia devem ocorrer de acordo com a NR 17: http://www.trt02.gov.br/geral/tribunal2/LEGIS/CLT/NRs/NR_17.html;

  2. Todas as operações devem estar em conformidade com a Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018), ISO 27001 e HIPAA (quando aplicável);

  3. Os colaboradores devem participar de treinamentos regulares sobre segurança da informação e proteção de dados;

  4. A empresa deve manter um Inventário de Ativos de Informação atualizado;

  5. Revisões periódicas das políticas de segurança e conformidade devem ser realizadas pelo menos anualmente;

  6. Cada participante do projeto deve contribuir durante a construção do projeto com um artigo em sua área para a companhia;

  7. Salvo restrições contratuais informadas em cada caso, de modo simultâneo e coordenado, as novas tecnologias, comportamentos, padronizações, metodologias e outros novos artefatos para projetos em desenvolvimento resultam contribuições para projetos modelo da companhia;

  8. Construir artefatos de código apenas com requisitos e macro-tarefas associadas;

  9. Sempre verificar com a gerência do projeto e produto a viabilidade de introduzir ou refatorar código com BDD, TDD e/ou código-fonte literal;

  10. Certifique-se de que termos, contratos e certificações estão em dia de acordo as instruções individuais de cada documento.

1.5 Matriz de Conformidade

A seguir, apresentamos nossa matriz de conformidade com os principais requisitos das normas ISO 27001, HIPAA e LGPD:

Requisito Padrão Status Implementação
Segurança de Rede
TLS 1.3 Configuration ISO 27001, HIPAA, LGPD ✅ Configure modern SSL parameters and ciphers in /etc/nginx/conf.d/ssl.conf
Access Logging ISO 27001, HIPAA, LGPD ✅ Enable detailed access logs with privacy fields in /etc/nginx/nginx.conf
Rate Limiting ISO 27001 ⬜ Implement rate limiting rules in location blocks
WAF Rules HIPAA ⬜ Install and configure ModSecurity with OWASP rules
Reverse Proxy Security ISO 27001, HIPAA, LGPD ✅ Configure security headers (X-Frame-Options, HSTS, CSP)
Gestão de Identidade
MFA Implementation ISO 27001, HIPAA, LGPD ✅ Enable and enforce MFA for all administrative accounts
RBAC Configuration ISO 27001, HIPAA, LGPD ✅ Set up role-based access control with least privilege
Password Policy ISO 27001, HIPAA, LGPD ✅ Configure strong password requirements (length, complexity, history)
OAuth2/OIDC Setup ISO 27001 ✅ Configure secure OAuth flows and token policies
Audit Logging ISO 27001, HIPAA, LGPD ✅ Enable comprehensive audit logging for user activities
Armazenamento e Dados
Encryption at Rest ISO 27001, HIPAA, LGPD ✅ Configure encrypted storage with key management
Bucket Policies ISO 27001, HIPAA, LGPD ✅ Implement strict bucket access policies
Object Versioning HIPAA ✅ Enable versioning for data recovery capability
Access Logging ISO 27001, HIPAA, LGPD ✅ Enable detailed access logging for object operations
Lifecycle Rules LGPD ⬜ Configure data retention and deletion policies
Comunicação
DKIM/SPF/DMARC ISO 27001, HIPAA, LGPD ✅ Configure email authentication mechanisms
Mail Encryption ISO 27001, HIPAA, LGPD ✅ Enable TLS for mail transport
Content Filtering ISO 27001, HIPAA, LGPD ✅ Implement content scanning and filtering rules
Mail Archiving HIPAA ⬜ Configure compliant email archiving
Sieve Filtering ISO 27001, HIPAA, LGPD ✅ Implement security-focused mail filtering rules
Sistemas Operacionais
System Hardening ISO 27001, HIPAA, LGPD ⬜ Apply CIS Ubuntu Linux benchmarks
System Updates ISO 27001, HIPAA, LGPD ✅ Configure unattended-upgrades for security patches
Audit Daemon ISO 27001, HIPAA, LGPD ⬜ Configure auditd for system event logging
Firewall Rules ISO 27001, HIPAA, LGPD ✅ Configure UFW with restrictive rules
Disk Encryption ISO 27001, HIPAA, LGPD ⬜ Implement LUKS encryption for system disks
SELinux/AppArmor ISO 27001, HIPAA, LGPD ⬜ Enable and configure mandatory access control
Monitoramento e Logs
Monitoring Setup ISO 27001, HIPAA, LGPD ✅ Install and configure Prometheus + Grafana
Log Aggregation ISO 27001, HIPAA, LGPD ✅ Implement centralized logging (e.g., ELK Stack)
Backup e Recuperação
Backup System ISO 27001, HIPAA, LGPD ⬜ Configure automated backup system with encryption
Network Isolation ISO 27001, HIPAA, LGPD ✅ Implement proper network segmentation
Gestão de Dados
Data Classification HIPAA/LGPD ✅ Document data types and handling procedures
Session Management ISO 27001, HIPAA, LGPD ✅ Configure secure session timeouts and invalidation
Gestão de Certificados
Certificate Management ISO 27001, HIPAA, LGPD ✅ Implement automated certificate renewal with Let's Encrypt
Segurança Ofensiva
Vulnerability Scanning ISO 27001 ✅ Regular automated scanning with tools like OpenVAS
Resposta a Incidentes
Incident Response Plan ISO 27001, HIPAA, LGPD ✅ Document and test incident response procedures
Disaster Recovery HIPAA ✅ Implement and test disaster recovery procedures

1.6 Documentação Obrigatória

1.6.1 Políticas de Segurança

  • Política de Segurança da Informação
  • Política de Controle de Acesso
  • Política de Senhas
  • Política de Proteção de Dados
  • Plano de Resposta a Incidentes

1.6.2 Procedimentos

  • Procedimentos de Backup e Recuperação
  • Procedimentos de Gestão de Mudanças
  • Procedimentos de Revisão de Acessos
  • Procedimentos de Incidentes de Segurança
  • Procedimentos de Resposta a Violações de Dados

1.6.3 Documentação Técnica

  • Diagramas de Arquitetura de Rede
  • Documentação de Configuração de Sistemas
  • Documentação de Controles de Segurança
  • Documentação de Padrões de Criptografia
  • Documentação de Logging e Monitoramento

1.6.4 Registros de Conformidade

  • Relatórios de Avaliação de Riscos
  • Logs de Auditoria
  • Registros de Treinamento
  • Relatórios de Incidentes
  • Registros de Revisão de Acesso

1.7 Tarefas Regulares de Manutenção

  • Atualizações semanais de segurança
  • Revisões mensais de acesso
  • Auditorias trimestrais de conformidade
  • Testes anuais de penetração
  • Testes semestrais de recuperação de desastres

1.8 Segurança de Acesso

  1. Mantenha sua senha em um local seguro, preferencialmente memorizando-a.
  2. Altere sua senha imediatamente ao recebê-la.
  3. Utilize autenticação de múltiplos fatores (MFA) sempre que disponível.
  4. Nunca compartilhe suas credenciais com outras pessoas.
  5. Bloqueie seu computador ao se ausentar de sua estação de trabalho.
  6. Revise regularmente suas permissões de acesso e solicite apenas os privilégios necessários.

1.9 Referências

  1. ISO 27001 - Sistema de Gestão da Segurança da Informação
  2. HIPAA (Health Insurance Portability and Accountability Act)
  3. LGPD (Lei Geral de Proteção de Dados - Lei nº 13.709/2018)
  4. CIS Benchmarks (Center for Internet Security)
  5. OWASP (Open Web Application Security Project)
  6. NIST (National Institute of Standards and Technology)
  7. http://msdn.microsoft.com
  8. https://aws.amazon.com/documentation/
  9. http://wikipedia.org
  10. https://portal.fiocruz.br/
  11. http://www.trt02.gov.br

Última atualização: 11 de maio de 2025