Políticas de Segurança

Esta página documenta as políticas de segurança formalmente adotadas pelo ISMS Copilot 2.0 como parte do nosso Sistema de Gestão de Segurança da Informação (ISMS). Estas políticas apoiam a nossa conformidade com os padrões ISO 27001, SOC 2 e ISO 42001 e refletem o nosso compromisso com o desenvolvimento responsável de IA e a proteção de dados.

Política de Controlo de Acesso

Protegemos o acesso aos nossos sistemas e dados através de controlos rigorosos de autenticação e autorização.

Autenticação e Autorização

• Autenticação multifator (MFA) é obrigatória para todos os utilizadores que acedem a serviços críticos
• Privilégios de acesso são concedidos seguindo o princípio do menor privilégio
• Contas identificadas únicas são obrigatórias para todo o acesso à produção, sem credenciais partilhadas
• Privilégios de acesso de colaboradores são revistos trimestralmente para garantir alinhamento com as funções atuais
• Gestores de palavras-passe são utilizados por todos os membros da equipa para proteger credenciais e chaves API

Gestão de Sessões

• Limites de duração de sessão e requisitos de reautenticação são aplicados
• Ligações seguras via TLS são obrigatórias para todo o acesso à produção
• Acesso a bases de dados é restrito apenas a redes internas

Ciclo de Vida do Acesso

• Provisão de acesso é verificada quanto à adequação da função antes de conceder permissões
• Desvinculação de colaboradores segue procedimentos documentados com desativação de conta em 24 horas
• Acesso de emergência é fornecido através de contas break-glass com registo obrigatório e revisão pós-evento

Política de Gestão de Ativos

Mantemos um inventário abrangente e a proteção de todos os ativos da empresa, desde dispositivos de colaboradores até bases de conhecimento proprietárias.

Segurança de Dispositivos

• Bloqueio automático de ecrã está configurado em todos os dispositivos de colaboradores
• Encriptação em repouso protege dados sensíveis em dispositivos da equipa
• Atualizações de software são mantidas automaticamente para reduzir a exposição a vulnerabilidades
• Software antimalware e firewalls configurados protegem contra ameaças
• Gestão de Dispositivos Móveis (MDM) aplica políticas de segurança em todos os dispositivos
• Sistemas operativos suportados apenas: os dispositivos devem executar OS/software com suporte ativo do fornecedor

Manuseamento de Dados

• Dispositivos de armazenamento removíveis estão proibidos para dados da empresa
• Apagamento seguro é obrigatório antes de qualquer dispositivo ser vendido, transferido ou eliminado
• Tarefas aprovadas apenas: os dispositivos de colaboradores estão restritos a uso comercial autorizado
• Locais físicos seguros são obrigatórios ao aceder a dados da empresa remotamente

Inventário de Ativos

• Rastreamento de ativos mantém um inventário sistemático de todos os ativos da empresa, incluindo bases de conhecimento proprietárias e código-fonte
• Revisões anuais garantem a precisão e relevância do inventário
• Processos de eliminação segura protegem ativos desativados contra fugas de dados

Recursos de Sistemas de IA

• Recursos do ciclo de vida da IA são identificados e documentados (fornecedores de LLM, componentes da arquitetura RAG)
• Recursos de dados para sistemas de IA são documentados (base de conhecimento proprietária)
• Recursos de ferramentas são documentados (Semgrep, Sentry)
• Recursos computacionais são documentados (infraestrutura Vercel, Supabase)

Política de Continuidade de Negócio, Cópias de Segurança e Recuperação

Mantemos resiliência através de procedimentos documentados de recuperação de desastres e sistemas automatizados de cópias de segurança.

Recuperação de Desastres

• Plano de Recuperação de Desastres (DRP) é mantido, aprovado pela gestão e atualizado anualmente
• Objetivos de recuperação definem RTO (Recovery Time Objectives) e RPO (Recovery Point Objectives) para todos os sistemas críticos
• Testes anuais validam os procedimentos de recuperação de desastres
• Revisões anuais avaliam as estratégias de continuidade de negócio e redundância, especialmente após mudanças importantes, como a adição de fornecedores de IA

Requisitos de Cópias de Segurança

• Cópias de segurança contínuas de bases de dados de produção protegem históricos de conversas de clientes e ficheiros carregados, com recuperação pontual ativada
• Retenção mínima de 7 dias para cópias de segurança
• Encriptação para todas as cópias de segurança em repouso e em trânsito via encriptação do Supabase
• Acesso restrito a sistemas de cópias de segurança com registo e monitorização abrangentes
• Testes de restauração semestrais validam a integridade das cópias de segurança e procedimentos de recuperação
• Validação anual de failover para mecanismos de redundância e recuperação multi-região

Resiliência do Fornecedor de IA

• Monitorização de disjuntor acompanha a saúde do fornecedor principal de IA (Anthropic) através da análise da taxa de erros numa janela deslizante
• Failover automático para fornecedor de backup (OpenAI) quando o fornecedor principal experiencia falhas ou desempenho degradado
• Sondas de recuperação automáticas testam a saúde do fornecedor principal e restauram o roteamento normal quando recuperado
• Notificação ao utilizador durante failover através de alertas persistentes em banner, mantendo a continuidade do serviço
• Limitação para modo exclusivo UE: Utilizadores de Proteção Avançada de Dados (exclusivo Mistral AI) não têm failover devido à disponibilidade de um único fornecedor na UE; a trabalhar para adicionar um segundo fornecedor na UE
• Registo de eventos de failover e revisão pós-incidente para melhoria contínua

Política de Gestão de Dados

Manuseamos dados com controlos rigorosos alinhados ao GDPR e às melhores práticas de proteção de dados.

Ciclo de Vida dos Dados

• Sistema de inventário de dados classifica todos os dados (Público, Interno, Confidencial, Secreto)
• Eliminação segura mediante pedido formal ou após expiração do período de retenção, apoiando os direitos do GDPR
• Minimização de dados—apenas os dados necessários para fins definidos são recolhidos e retidos
• Bases legais para processamento documentadas (consentimento, contrato, obrigação legal, interesses legítimos)
• Registos das atividades de processamento documentam finalidades, categorias de dados, destinatários, períodos de retenção e medidas de segurança

Encriptação e Transporte

• TLS 1.2 mínimo (idealmente 1.3) para todos os serviços HTTP externos via Vercel
• Cabeçalhos HSTS em aplicações web de produção previnem ataques de downgrade de protocolo
• Encriptação AES-256 em repouso para todas as bases de dados de produção via Supabase

Gestão de Dados de IA

• Registo de aquisição de dados acompanha detalhes da fonte para o conteúdo da base de conhecimento proprietária
• Rastreamento de proveniência de dados ao longo do ciclo de vida da IA garante rastreabilidade na nossa arquitetura RAG
• Controlo de versões e registos de acesso gerem dados para o desenvolvimento de sistemas de IA
• Verificações de qualidade de dados contra critérios definidos antes da utilização em sistemas de IA
• Métodos de preparação aprovados padronizam o processamento RAG para orientação de conformidade consistente

Direitos de Proteção de Dados

• Direitos dos titulares dos dados (acesso, eliminação, correção) são cumpridos dentro dos prazos legalmente exigidos pelo GDPR
• Eliminação segura para ativos desativados que armazenam dados sensíveis
• Proteção de cópias de segurança—as cópias de segurança seguem as mesmas regras de encriptação, retenção e acesso que os dados de produção

Para detalhes abrangentes sobre as nossas práticas de manuseamento de dados, consulte a nossa documentação Data Privacy & GDPR Compliance.

Política de Desenvolvimento Seguro

Integramos a segurança no nosso ciclo de desenvolvimento desde o commit de código até à implementação em produção.

Proteção do Código-Fonte

• Criar um ramo dedicado para qualquer novo desenvolvimento
• Ramos padrão protegidos impedem force pushes para repositórios de código de produção
• Requisitos de pull request—sem commits diretos para ramos protegidos
• Revisão e aprovação de código obrigatórias antes da fusão
• Mensagens de commit padronizadas melhoram a rastreabilidade e capacidade de auditoria

Testes de Segurança

• Testes automatizados executam-se para cada commit e pull request antes da fusão
• Análise de segredos deteta automaticamente credenciais expostas via Semgrep
• Análise de vulnerabilidades de dependências em todas as bibliotecas de terceiros via Semgrep SCA
• Análise de imagens de contentores antes da implementação (quando aplicável)
• DAST (Dynamic Application Security Testing) em ambientes de staging
• SAST (Static Application Security Testing) via Semgrep em todas as alterações de código
• Bloqueio de implementação quando vulnerabilidades críticas ou de alta gravidade são detetadas
• Testes de penetração anuais em sistemas de produção

Fluxo de Trabalho de Desenvolvimento

• Não trabalhar em novas funcionalidades enquanto bugs críticos ainda afetam os utilizadores
• Ramos específicos para funcionalidades para desenvolvimento e testes isolados
• Ambiente de staging espelha a produção para testes pré-produção
• Testes locais obrigatórios antes de commits para ramos partilhados
• SDLC documentado (Software Development Lifecycle) orienta os processos de desenvolvimento
• Sistema de rastreamento de problemas para reportar e acompanhar bugs do produto
• Revisão de código com análise de segurança identifica problemas de segurança
• Testes unitários e de integração obrigatórios para toda a lógica de negócio crítica

Controlos de Segurança

• Linters de segurança (ESLint) previnem padrões de codificação inseguros em TypeScript
• Implementações automatizadas seguem procedimentos seguros e repetíveis via Vercel
• Pipelines de implementação contínua para alterações de código aprovadas
• Acesso ao VCS segue o princípio do menor privilégio com MFA obrigatório
• Procedimentos de rotação de credenciais executam-se imediatamente após a deteção de credenciais expostas
• Cofres seguros gerem segredos em ambientes de CI/CD e desenvolvimento
• Registo de atividades em Sistemas de Controlo de Versões (registos de auditoria do GitHub)

Segurança de Aplicações

• Políticas CORS devidamente configuradas para restringir acessos não autorizados
• Cabeçalhos CSP (Content Security Policy) previnem ataques XSS e de injeção
• Segurança de cookies—flags HttpOnly e Secure via Supabase Auth
• Proteção CSRF em todas as operações que alteram estado
• Fixação de certificados para ligações API críticas
• Segurança de mensagens de erro—erros internos são tratados pelo Sentry, não expostos aos utilizadores
• Proteção contra injeção SQL via consultas parametrizadas e ORMs no PostgreSQL do Supabase
• Proteção contra XSS através de sanitização de entrada e codificação de saída
• Validação de entrada para tipo, formato, comprimento e intervalo antes do processamento
• Limitação de taxa em endpoints críticos (autenticação, consultas de IA)
• Segurança de webhooks via verificação de assinatura e autenticação

Proteção de Dados no Código

• Sem palavras-passe em texto simples—encriptação ao nível da linha da base de dados
• Dependências suportadas apenas—sem bibliotecas desatualizadas ou não suportadas em produção
• Configuração externalizada—sem segredos codificados no código da aplicação
• Migrações controladas por versão para alterações de esquema da base de dados
• Sem registo sensível—credenciais e PII nunca são registadas
• Linguagens seguras em memória (TypeScript) preferidas para novo desenvolvimento

Licenciamento e Conformidade

• Software licenciado apenas—ferramentas devidamente licenciadas, aprovadas e pagas são obrigatórias
• Sem licenças copyleft (GPL v3) para proteger o código proprietário
• Verificação automática de licenças em pipelines de CI/CD via Semgrep
• Comunicação de alterações a partes interessadas internas e externas para atualizações importantes
• Processos de garantia de qualidade para todas as versões de produção

Política de Infraestrutura Segura

A nossa infraestrutura nativa na nuvem implementa defesa em profundidade com controlos de segurança automatizados.

Segurança de Rede

• Proteção por Firewall de Aplicações Web (WAF) via Vercel para todas as aplicações voltadas para a internet
• Protocolos encriptados apenas (TLS, SSH) para todas as ligações externas
• Segmentação de rede isola ambientes de produção, staging e desenvolvimento em arquitetura serverless
• Regras de firewall configuradas com o princípio do menor privilégio (deny-by-default) via Vercel
• Proteção contra DDoS ativada para recursos voltados para a internet via Vercel
• TLS 1.2 mínimo para todas as comunicações encriptadas
• TLS direto preferido em vez de STARTTLS para ligações encriptadas
• DNSSEC ativado para zonas DNS geridas para prevenir spoofing de DNS
• Autenticação de email (DKIM, SPF, DMARC) configurada para domínios de email de saída

Gestão de Infraestrutura

• Infraestrutura como Código (IaC) gere configurações do Vercel para repetibilidade
• Registo centralizado via Sentry para todos os componentes de infraestrutura, incluindo captura de ID de utilizador (apenas UUID) em produção para correlação de erros e resolução mais rápida
• Escalonamento automático configurado via Vercel para manter a disponibilidade durante picos de tráfego
• Alertas automatizados para incidentes de segurança e comportamentos anómalos via Semgrep e Sentry
• Replicação de base de dados e failover automático para bases de dados críticas via Supabase Enterprise
• Restrições de conta root—IAM com menor privilégio, root não é usado para operações do dia-a-dia
• Trilhos de auditoria ativados (registos do Supabase) e monitorizados para conformidade
• Documentação de arquitetura mantida e revista anualmente

Endurecimento de Sistemas

• Encriptação de disco ativada em todos os volumes de armazenamento em repouso via Supabase
• Contentores sem root quando aplicável para reduzir riscos de escalamento de privilégios
• Correções de segurança automatizadas em ambiente serverless
• Correções críticas aplicadas em 7 dias, correções padrão em 30 dias
• Apenas OS suportado que recebe atualizações de segurança ativas (garantido pelo serverless do Vercel)
• Versões LTS para estabilidade em produção
• Sincronização NTP para timestamps precisos nos registos
• Rotação trimestral de credenciais para credenciais de infraestrutura (chaves API, tokens)

Acesso e Autenticação

• Cofres seguros (KMS na nuvem) para armazenamento de chaves criptográficas
• Anfitriões bastião para acesso administrativo à infraestrutura de produção
• Acesso com menor privilégio via controlos IAM
• Acesso seguro via VPN/SSH/nativo na nuvem obrigatório para infraestrutura de produção
• Contas de serviço com privilégios limitados para processos automatizados
• Gestão automática de certificados via Vercel (Let's Encrypt)
• Monitorização de expiração de certificados com alertas aos 30, 14 e 7 dias antes da expiração

Conformidade

• Controlos de residência de dados para clientes da UE (AWS Frankfurt) para cumprir com o GDPR

Política de Segurança de Recursos Humanos

Garantimos a consciencialização e responsabilidade em matéria de segurança em toda a nossa equipa ao longo do ciclo de vida do colaborador.

Estrutura Organizacional

• Organograma visualiza a estrutura da empresa, atualizado trimestralmente
• Funções documentadas e responsabilidades claramente definidas (modelo RACI para equipa pequena)
• Descrições de funções documentam requisitos relacionados com segurança para recrutamento

Contratação e Integração

• Procedimentos de recrutamento documentados garantem contratações verificadas e reduzem riscos internos
• Contratos de trabalho incluem cláusulas de NDA e confidencialidade para proteger a propriedade intelectual
• Integração em segurança inclui configuração de MFA e formação em políticas de segurança
• Formação em consciencialização de segurança concluída por todos os colaboradores

Gestão Contínua

• Avaliações de desempenho anuais apoiam o desenvolvimento de competências e a consciencialização em segurança
• Aplicação de políticas—colaboradores que violem políticas de segurança enfrentam sanções documentadas
• Reportamento de incidentes via sistema de tickets ou email de suporte para preocupações de segurança

Desvinculação

• Procedimentos de desvinculação documentados garantem a desativação de contas e revogação de acessos (crítico para funções de super administrador)

Competências Específicas de IA

• Competências do pessoal de IA determinadas e garantidas através de formação ou contratação
• Documentação de recursos de IA acompanha competências e contribuições da equipa
• Consciencialização da política de IA—o pessoal compreende o seu papel no desenvolvimento responsável de IA

Política de Segurança Operacional

Mantemos a segurança operacional através de monitorização, resposta a incidentes e melhoria contínua.

Operações de Infraestrutura

• Diagrama de arquitetura de rede mantido e atualizado anualmente
• Registo de alterações de infraestrutura para trilhos de auditoria e gestão de alterações
• Sincronização NTP diária para timestamps precisos nos registos
• Atualizações trimestrais do SO do servidor via automação serverless
• Agregação centralizada de registos via Sentry, capturando IDs de utilizador (apenas UUID) em produção para correlação de erros
• Retenção de registos de 30 dias para registos de produção de aplicações

Gestão de Ameaças

• Proteção WAF para aplicações de produção (equivalente Vercel)
• Testes de penetração anuais do ambiente de produção
• Monitorização ativa de ameaças para infraestrutura na nuvem via Semgrep e Sentry
• Monitorização em tempo real via Sentry para resposta proativa
• Alertas automatizados para incidentes de segurança

Resposta a Incidentes

• Plano formal de resposta a incidentes para questões críticas e de segurança
• Alertas no Slack para notificação imediata de interrupções de produção
• Histórico de revisão de incidentes mantido em repositório centralizado para lições aprendidas
• Partilha de eventos de segurança com partes relevantes para transparência
• Conformidade com NIS2: incidentes cibernéticos significativos reportados às autoridades (aviso prévio em 24 horas, notificação de incidente sem demora indevida, relatório final em um mês)

Segurança de Email

• Protocolos SPF, DKIM, DMARC protegem servidores de email
• Filtros de segurança para proteção contra spam e malware

Comunicação e Transparência

• Portal de autoatendimento fornece documentação do produto aos utilizadores
• Website público descreve claramente funcionalidades e benefícios
• Email de reportamento de segurança para divulgação coordenada de vulnerabilidades
• Centro de Confiança detalha práticas de segurança e certificações de conformidade
• Página de estado público comunica o estado do serviço e incidentes (planeados)

Mitigação de Riscos

• Cobertura de seguro cibernético protege as operações comerciais do impacto financeiro de incidentes de segurança

Operações de IA

• Monitorização de sistemas de IA para desempenho e erros, com remediação através de retreino, correções de código ou atualizações
• Registo de eventos de IA em fases-chave do ciclo de vida com manutenção de registos abrangentes

Política de Segurança Física

Protegemos ativos físicos e infraestrutura através de controlos de segurança apropriados.

• Segurança do centro de dados depende de fornecedores certificados (Supabase/Vercel com certificações ISO 27001, SOC 2 Tipo II)
• Mitigação de ameaças para locais físicos (extintores de incêndio, etc.) como parte da avaliação de riscos
• Medidas de segurança física implementadas para quaisquer ativos físicos
• Controlo de acesso ao escritório via sistema de crachá ou chave (se aplicável)
• Registo de visitantes em sistema digital para rastreamento de acesso ao escritório

Política de Gestão de Riscos

Identificamos, avaliamos e tratamos sistematicamente os riscos para a nossa segurança da informação e sistemas de IA.

Gestão Geral de Riscos

• Avaliações de risco anuais ou conforme necessário identificam e avaliam ameaças à segurança
• DPIA (Data Protection Impact Assessments) para atividades de processamento de dados pessoais de alto risco

Gestão de Riscos de IA

• Identificação anual de riscos de IA para o sistema de gestão de IA
• Avaliação de riscos do sistema de IA utilizando pontuação de probabilidade e impacto
• Tratamento de riscos através da aplicação de controlos, aceitação, transferência ou evitamento de riscos
• Avaliações de impacto em indivíduos e sociedades com resultados documentados para revisões de risco
• Avaliações em intervalos planeados ou desencadeadas por alterações com resultados documentados
• Planos de tratamento de riscos implementados, verificados e atualizados com documentação

Política de Terceiros

Avaliamos e gerimos os riscos de segurança de fornecedores e prestadores de serviços terceiros.

• Avaliações anuais de fornecedores para fornecedores terceiros como OpenAI e ConvertAPI
• Responsabilidades do ciclo de vida da IA alocadas entre organização, parceiros, fornecedores, clientes e terceiros
• Revisão de fornecedores para alinhamento com IA antes de utilizar serviços, produtos ou materiais
• Integração das necessidades dos clientes na abordagem de IA responsável
• Avaliação de risco cibernético da cadeia de fornecimento incluindo dependências de segurança e medidas de mitigação

Política de Gestão de IA

Governamos os nossos sistemas de IA através de uma estrutura de gestão abrangente alinhada com a ISO 42001.

Sistema de Gestão de IA

• Questões internas e externas relevantes para os sistemas de IA determinadas e documentadas
• Partes interessadas identificadas juntamente com os seus requisitos
• Limites e aplicabilidade do sistema de gestão de IA definidos
• Melhoria contínua do sistema de gestão de IA
• Compromisso da gestão de topo demonstrado (abordagem "praticar o que pregamos" liderada pelo CEO)

Estrutura de Política de IA

• Política de IA documentada fornece estrutura para objetivos e melhoria
• Alinhamento da política com outras políticas organizacionais
• Revisões em intervalos planeados da política de IA
• Objetivos de IA mensuráveis consistentes com a política, monitorizados e atualizados (por exemplo, métricas de redução de hallucinations)

Alterações ao Sistema de IA

• Alterações planeadas ao sistema de gestão de IA executadas sistematicamente (por exemplo, adição de novos fornecedores de IA)
• Alocação de recursos para o sistema de gestão de IA determinada e fornecida
• Estrutura de comunicação para comunicações internas e externas sobre sistemas de IA (inclui Centro de Confiança)
• Proteção de documentos para informações do sistema de gestão de IA

Gestão de Processos de IA

• Processos baseados em requisitos planeados, implementados e controlados
• Monitorização e avaliação de desempenho com retenção de evidências
• Auditorias internas em intervalos planeados
• Revisões de gestão para adequação do sistema de gestão de IA
• Ações corretivas para não conformidades com documentação

Política de Avaliação de Impacto de IA

Avaliamos as potenciais consequências dos nossos sistemas de IA em indivíduos e na sociedade.

• Avaliações anuais de impacto das consequências dos sistemas de IA em indivíduos e sociedades
• Resultados documentados retidos para fins de conformidade e auditoria
• Avaliação de impacto em indivíduos/grupos considerando a privacidade dos utilizadores e potenciais enviesamentos
• Avaliação de impacto societal alinhada com o Ato de IA da UE e considerações éticas mais amplas

Política do Ciclo de Vida do Sistema de IA

Gerimos os sistemas de IA de forma responsável desde o design até à implementação e operação.

Objetivos de Desenvolvimento

• Objetivos de IA responsável identificados, documentados e integrados no desenvolvimento de RAG
• Diretrizes de responsabilidade seguidas no design e desenvolvimento para reduzir hallucinations

Design e Desenvolvimento

• Especificação de requisitos para sistemas de IA documentada
• Documentação de design baseada em objetivos e requisitos
• Verificação e validação através de testes de regressão antes da implementação
• Implementação baseada em requisitos—sistemas implementados apenas após os requisitos serem cumpridos
• Documentação técnica fornecida às partes relevantes (equipa e utilizadores)

Utilização e Informação

• Informação ao utilizador determinada e fornecida (guias de utilizador explicando limitações)
• Capacidades de reportamento de impacto adverso fornecidas para feedback dos utilizadores
• Notificações por email para incidentes de IA para construir confiança
• Obrigações de reportamento a partes interessadas determinadas e documentadas
• Diretrizes de utilização responsável seguidas para sistemas de IA
• Objetivos de utilização para IA responsável identificados e documentados
• Monitorização do propósito pretendido garante utilização focada na conformidade

Atualizações e Revisões de Políticas

Estas políticas são revistas e atualizadas regularmente para manter o alinhamento com a nossa postura de segurança em evolução, requisitos de conformidade e práticas operacionais. Alterações materiais são comunicadas às partes interessadas através dos canais apropriados.

Recursos Relacionados

• Security & Data Protection Overview - Detalhes de implementação dos nossos controlos de segurança
• Data Privacy & GDPR Compliance - Como lidamos com dados pessoais e direitos do GDPR
• Privacy Policy - Os nossos compromissos legais de privacidade