Segurança, conformidade e residência de dados
Os controles que um cliente ativa por conta própria, criptografia e chaves, alvos de patches por CVSS, incidentes de segurança e notificação de violações, testes de penetração do cliente, decisões de governança ASK, residência e as evidências que um cliente pode solicitar.
Três camadas de defesa
| Evitar | Detectar | Correto |
|---|---|---|
| Isolamento de rede e WAF; entrada somente HTTPS; banco de dados privado | Registro centralizado — aplicativo, auditoria, nuvem | Cópias de segurança isoladas da internet; cofre imutável; restauração em ambiente controlado. |
| Criptografia em repouso e em trânsito | Análise de vulnerabilidades — imagens, dependências, configuração da nuvem | Manuais de resposta a incidentes e escalonamento |
| RBAC granular, SSO, MFA, privilégio mínimo | Detecção de ameaças em tempo de execução | Live DR — uma segunda região em execução com failover automático. |
| Imagens reforçadas; gerenciamento de vulnerabilidades e patches |
Controla os interruptores do cliente.
Mapeados para o NIST CSF, a maioria dos controles está integrada ao TRANXACT ou provém dos serviços nativos do provedor de nuvem. Quatro são opcionais ou ficam a critério do cliente e precisam ser mencionados em voz alta, pois ninguém mais os implementará:
| Controlar | Função | Quem |
|---|---|---|
| Classificação de dados | Identificar | O cliente classifica os dados pessoais e os dados regulamentados (INFRA_2.5.04 para retenção e custódia legal). |
| SSO e MFA por meio do IdP | Proteger | O cliente mantém as contas e a política de MFA em seu IdP (PLAT_5.6.02); a TRANXACT configura a federação (PLAT_5.6.01). |
| Chaves gerenciadas pelo cliente | Proteger | Opcional (TO_4.5.10); o cliente executa o ciclo de vida da chave (TO_4.5.11) |
| Integração SIEM | Detectar | A exportação de logs é opcional (TO_4.6.02); a operação do SIEM é de responsabilidade do cliente (TO_4.6.03). |
Criptografia e chaves
| O que | Como |
|---|---|
| Dados em trânsito | TLS 1.2+ |
| Banco de dados em repouso | AES-256 |
| Armazenamento de objetos e backups | AES-256 |
| Segredos | Uma loja de segredos administrada |
| Chaves de IA | A chave do provedor de nível, ou BYOK. |
| Certificados | Uma Autoridade Certificadora pública para o FQDN (Nome de Domínio Totalmente Qualificado). |
- Padrão: chaves KMS na nuvem gerenciadas pela TRANXACT, com rotação e destruição definidas; nenhum acesso de leitura às chaves por parte do operador; acesso às chaves registrado; chaves de backup do cofre mantidas separadamente (TO_4.11.02).
- Opcional: chaves gerenciadas pelo cliente no KMS do cliente, certificados fornecidos pelo cliente, BYOK para o mecanismo ASK.
Com chaves gerenciadas pelo cliente, a revogação da chave torna o TRANXACT indisponível. Defina em conjunto os procedimentos de rotação e emergência antes de usar a chave.
Aplicação de patches por gravidade (padrão proposto)
| Gravidade (CVSS) | Meta de remediação | Aviso ao cliente |
|---|---|---|
| Crítico (9,0–10) | Caminho de emergência, assim que existir uma solução testada. | Imediatamente, caso seja necessário algum tempo de inatividade. |
| Alto (7,0–8,9) | Próxima janela de manutenção | Notas de lançamento |
| Médio (4,0–6,9) | Dentro de 30 dias | Notas de lançamento |
| Baixo (abaixo de 4,0) | Próxima versão programada | Notas de lançamento |
Quatro etapas: avaliar e classificar; testar e verificar em um ambiente de não produção comparando com uma cópia de tamanho de produção; implantar por meio de atualização gradual após o período de espera, monitorando a integridade e as verificações de registro; responder e corrigir. Os clientes com seus próprios comitês de mudanças devem definir o período de aviso prévio e quais correções podem ignorá-lo.
Incidentes de segurança e violações de dados pessoais
Controlar → Reportar → Declarar → Resolver → Aprender: conter e isolar; registrar e alertar a equipe de SecOps e o Projeto Piloto de Operações Autônomas; classificar e abrir um incidente de segurança; erradicar, restaurar a partir de um estado limpo e verificar o registro; revisar a causa raiz e atualizar os controles e manuais de procedimentos.
| TRANXACT — processador (TO_4.5.06) | Cliente — controlador (TO_4.5.07) |
|---|---|
| Confirma uma violação que afetou os dados pessoais do cliente. | Avalia o risco para os titulares dos dados. |
| Notifica o cliente sem demora indevida, conforme estabelecido no DPA (Acordo de Proteção de Dados). | Notifica a autoridade supervisora quando necessário. |
| Compartilha os fatos conhecidos, o provável impacto e as medidas tomadas. | Informa os titulares dos dados afetados, quando necessário. |
| Fornece atualizações à medida que a investigação avança. | Registra a violação em seu próprio registro. |
Defina os contatos, o canal e o cronograma de notificação no DPA e ensaie o plano de comunicação com o DPO do cliente.
O próprio teste de penetração do cliente
- Assine um acordo de confidencialidade.
- Solicite com pelo menos 2 semanas de antecedência (TO_4.5.08, Serviço Adicional).
- Concordar com o escopo.
- Primeiro, teste em ambiente de não produção — atualizado a partir do ambiente de produção com mascaramento de dados. Os testes em ambiente de produção exigem aprovação explícita da TRANXACT e um período de teste específico.
- Compartilhe as descobertas.
- Corrigir em conjunto: as conclusões da plataforma são padrão (TO_4.5.09); as conclusões na configuração do cliente são da responsabilidade dele.
| Em escopo | Fora do escopo |
|---|---|
| Teste de aplicação através do FQDN do cliente | Ataques de negação de serviço e de sobrecarga |
| Autenticação, autorização e definição de funções | Infraestrutura do provedor de nuvem |
| APIs utilizadas pelas integrações do cliente | Outros inquilinos, a conta do cofre e as ferramentas compartilhadas. |
| Caminhos de rede do lado do cliente (VPN, link privado) | Engenharia social da equipe da TRANXACT |
ASK às decisões de governança
O ASK atua por meio das APIs da TRANXACT com a própria sessão do usuário, portanto, cada regra de publicação, permissão de função e entrada de log de auditoria se aplica como se o usuário tivesse clicado. O que é decidido por cliente:
| Decisão | Categoria | Descanso e relaxamento |
|---|---|---|
| Nível do motor (premium, equilibrado, econômico) e região de processamento | Padrão, solicitação de serviço | ASK_6.1.02 |
| Conecte uma chave de IA fornecida pelo cliente (BYOK) | Padrão, solicitação de serviço | ASK_6.1.03 |
| Forneça e faça o rodízio da chave BYOK; mantenha o contrato do provedor de IA. | Excluído | ASK_6.1.04 |
| Quais funções podem usar o ASK; orçamentos e alertas de uso; lembrete mensal e revisão de uso; sessões de adoção. | Pacote — Governança de Uso G1 ASK | ASK_6.2.01 – 6.2.03, 6.2.07 |
| Cada ação ASK no registro de auditoria. | Padrão | PERGUNTE_6.2.04 |
| Política interna de utilização de IA do cliente | Excluído | PERGUNTE_6.2.05 |
Residência de dados
- A região principal é onde ficam armazenados o livro-razão e os documentos.
- A região de Live DR e o cofre de dados estão localizados na mesma jurisdição legal, conforme exigido pela regulamentação.
- ASK: onde as solicitações e respostas são processadas — BYOK se o cliente exigir seu próprio contrato de IA.
- Idiomas, entidades, moedas e requisitos legais locais por entidade jurídica.
- Regras setoriais: registros de saúde (EHR), registros de alunos, folha de pagamento e dados fiscais.
- As transferências transfronteiriças são abrangidas pela DPA (Lei de Proteção de Dados).
Confirme os requisitos de dados regulamentados antes de escolher as regiões. A transferência de um livro-razão ativo entre regiões é um projeto de migração.
Provas e certificações
- A pedido: o whitepaper de segurança e as descrições dos controles, resumos dos testes de penetração, relatórios de simulação de transição e restauração em sala limpa, relatórios de disponibilidade e status de backup, a lista de subprocessadores e os TOMs da DPA (TO_4.5.12).
- Questionário de due diligence de segurança do cliente, respondido uma vez por ano contratual (TO_4.5.13).
- Direitos de auditoria conforme definidos no DPA; testes de penetração realizados pelo próprio cliente de acordo com o processo acordado; exportação de logs para o seu SIEM.
Só mencione certificações e atestados — ISO/IEC 27001, SOC 2 Tipo II, estruturas setoriais — cujo escopo atual abranja a nuvem e a região do cliente. Confirme com a TRANXACT a conformidade antes de apresentar uma proposta.
Os valores marcados como padrão proposto são os pontos de partida recomendados no guia de implementação. Confirme cada um deles para cada cliente; o contrato, o formulário de pedido, o SLA e o DPA prevalecem sobre esta página.