Política de Requisitos de Segurança de Aplicações

A Política de Requisitos de Segurança de Aplicações (P25) fornece um mandato organizacional abrangente para incorporar controlos de segurança robustos em todas as fases do ciclo de vida das aplicações. O seu objetivo principal é impor requisitos obrigatórios de segurança ao nível da camada de aplicação para todo o software desenvolvido, adquirido, integrado ou implementado pela organização. A política aplica-se não só a soluções desenvolvidas internamente, mas também a SaaS, ferramentas construídas à medida e ferramentas obtidas externamente. Esta aplicabilidade alargada garante que cada ativo tecnológico que suporta operações críticas de negócio, acesso de clientes ou tratamento de dados regulamentados é protegido de acordo com princípios de desenvolvimento seguro, requisitos legais e a postura de risco da organização. Em termos de âmbito, a política abrange aplicações em todos os ambientes, incluindo desenvolvimento, teste, staging, ambiente de produção e ambiente de recuperação em caso de desastre, independentemente de estarem alojadas nas instalações, em centros de dados privados ou na nuvem. O conjunto de partes responsáveis também é abrangente: desde o Diretor de Segurança da Informação (CISO), que detém a política e a alinha com a estratégia da organização, passando por líderes de segurança de aplicações e gestores de DevSecOps responsáveis por definir e validar controlos de segurança, até desenvolvedores, engenheiros, proprietários de produto, equipas de operações e fornecedores terceiros ou fornecedores de software. Todos os grupos devem cumprir os requisitos, assegurando uma cadeia de responsabilização e conformidade. Os principais objetivos da política incluem definir requisitos de segurança funcionais e não funcionais de base; impor mecanismos seguros de autenticação, autorização e controlo de acesso; integrar proteções como validação de acesso, codificação de saída e gestão robusta de erros e sessões; e aplicar escrutínio especial à segurança de interfaces de programação de aplicações, componentes de terceiros e integrações externas. A proteção de dados é abordada através de cifragem obrigatória, classificação de dados e protocolos de retenção definidos, com uma proibição estrita de credenciais não cifradas ou dados sensíveis. A política também prescreve testes de segurança regulares, incluindo análise estática e dinâmica, revisão de código, testes de penetração e monitorização contínua, para proporcionar deteção precoce e mitigação de vulnerabilidades. É especificado um quadro de governação robusto, exigindo validação de segurança documentada na fase de planeamento ou aquisição para todas as novas aplicações, inclusão de requisitos em contratos e Acordos de Nível de Serviço (SLA) e tratamento estruturado de exceções baseado no risco. É obrigatória a utilização de tecnologias seguras (incluindo SAST, DAST, IAST e SCA), testes de penetração anuais para aplicações de alto risco e RASP ou WAF quando justificado pelo risco. Quaisquer exceções devem ser formalmente solicitadas com análise de riscos, controlos compensatórios, um plano de remediação e documentação completa. O incumprimento ou a evasão de controlos pode resultar na remoção de aplicações, suspensão de acesso ou escalonamento para Recursos Humanos (RH), Jurídico e Conformidade ou Gestão de Fornecedores. A política é revista pelo menos anualmente ou em resposta a incidentes de segurança, alterações regulamentares ou mudanças significativas nas práticas de desenvolvimento, e todas as revisões estão sujeitas a sistemas de controlo de versões e distribuição às equipas relevantes. Por fim, o documento é cuidadosamente mapeado para um conjunto de políticas relacionadas, como Política de Segurança da Informação, Política de Controlo de Acesso, Política de Gestão de Alterações, Políticas de Proteção de Dados, Desenvolvimento Seguro e Política de Resposta a Incidentes (P30), assegurando uma abordagem em camadas e consistente ao risco empresarial e à conformidade.