Política de Segurança da Informação

Toda a infraestrutura do Forms2You (servidores, banco de dados, rede);

O código da plataforma e seus componentes;

A equipe, colaboradores e prestadores de serviço com acesso a sistemas;

Todos os subprocessadores e integrações de terceiros.

Fundador/CTO: aprovar a política, garantir recursos para segurança, supervisão geral;

Equipe de desenvolvimento: implementar controles de segurança no código e na infraestrutura;

Todos os colaboradores: seguir esta política e reportar incidentes suspeitos.

Senhas hashadas com bcrypt (fator de custo mínimo 12) ou Argon2id;

Tokens de sessão gerados de forma criptograficamente segura;

Suporte a autenticação por magic link / e-mail;

Expiração automática de sessões inativas;

Controle de tentativas de login (rate limiting e bloqueio temporário).

Controle de acesso baseado em função (RBAC);

Verificação de autorização em todas as operações de leitura e escrita;

Row Level Security (RLS) ou equivalente no banco de dados;

Verificação de ownership de recursos antes de qualquer operação.

Revisão de dependências antes de adição ao projeto;

Monitoramento de vulnerabilidades em dependências;

Atualizações de segurança aplicadas em até 7 dias para severidade alta/crítica;

Lockfiles versionados e validados.

Proibido hardcode de secrets, senhas ou credenciais no código;

Variáveis de ambiente para todas as configurações sensíveis;

.env nunca comitado no repositório;

Secrets gerenciados com ferramenta adequada.

Servidor VPS com firewall configurado (portas mínimas necessárias expostas);

SSH por chave (sem senha); porta SSH não padrão recomendada;

Atualizações de segurança do sistema operacional aplicadas regularmente;

Isolamento de containers Docker com configuração segura;

Proxy reverso (Traefik) como único ponto de entrada público;

SSL/TLS automático para todos os domínios.

Imagens Docker baseadas em versões específicas (não latest);

Containers executados sem privilégios desnecessários;

Read-only filesystem onde possível;

Secrets via variáveis de ambiente ou volumes, nunca em imagens;

Rede Docker isolada por serviço.

PostgreSQL não exposto diretamente à internet;

Acesso via rede interna Docker apenas;

Usuários de banco com privilégios mínimos necessários;

Conexões via SSL entre aplicação e banco;

Senhas fortes e rotação regular.

Não exposto à internet;

Senha de autenticação configurada;

Rede interna Docker apenas.

Acesso limitado ao menor número de pessoas necessário;

Autenticação com chaves SSH para acesso ao servidor;

MFA habilitado para todos os serviços que suportam;

Revisão trimestral de acessos.

Contas de equipe com permissões mínimas necessárias;

Acesso a dados de produção apenas quando necessário e registrado;

Revogação imediata de acessos de colaboradores desligados.

Inventário de todos os secrets ativos;

Rotação de credenciais a cada [90 dias] ou imediatamente após incidente;

Nunca compartilhar secrets por canais não seguros (e-mail, chat).

TLS 1.2 ou superior para todo tráfego externo;

TLS para comunicação entre serviços internos sensíveis;

Certificados SSL com renovação automática.

Criptografia de disco no servidor de produção (verificar com provedor);

Backups criptografados;

Dados sensíveis (senhas, tokens) nunca armazenados em texto puro.

Dados sensíveis mascarados em logs (senhas, tokens, IPs quando aplicável);

PII não exposta em mensagens de erro retornadas ao cliente;

Dados de produção não utilizados em ambientes de desenvolvimento.

Verificação de autorização antes de exportações de dados;

Logs de todas as exportações realizadas;

Arquivos de exportação sem exposição pública não autorizada.

Revisão de código focada em segurança antes de cada release;

Testes de segurança automatizados no pipeline de CI;

Varredura de dependências vulneráveis automatizada;

Pentest ou revisão de segurança externa anual (meta). [REVISAR]

Autenticações (sucesso e falha) com timestamp e IP;

Criação, modificação e exclusão de formulários;

Exportações de dados;

Alterações de configurações de conta;

Erros de aplicação e exceções;

Eventos de segurança relevantes.

Senhas ou tentativas de senha;

Tokens de autenticação completos;

Respostas completas de formulários (apenas metadados);

Dados de cartão de crédito.

Logs de segurança e acesso: 12 meses;

Logs de aplicação: 90 dias.

Alertas automáticos para tentativas de brute force;

Alertas para erros críticos de aplicação;

Monitoramento de disponibilidade com alerta de downtime.

Backups diários automatizados do banco de dados;

Backups armazenados em local separado do servidor principal;

Testes de restauração mensais;

RTO (Objetivo de Tempo de Recuperação): [4 horas];

RPO (Objetivo de Ponto de Recuperação): [24 horas].

Subprocessadores avaliados quanto às práticas de segurança antes da contratação;

Contratos com cláusulas de proteção de dados (DPA);

Revisão da lista de subprocessadores trimestralmente;

Integrações de terceiros com acesso mínimo necessário (princípio do menor privilégio nas APIs).

Revisão desta política por todos os membros da equipe ao ingressar;

Atualização e revisão da política anualmente ou após incidente relevante;

Canal claro para reporte de preocupações de segurança internamente.

LGPD (Lei 13.709/2018) — proteção de dados pessoais;

OWASP Top 10 — controles de segurança de aplicação web;

Boas práticas de mercado (CIS Controls, NIST CSF).

Anualmente, no mínimo;

Após qualquer incidente de segurança significativo;

Após mudanças relevantes na infraestrutura ou nos serviços.