Início › Segurança da informação e adequação à LGPD para empresas

Segurança da informação e adequação à LGPD para empresas

Na Utechs, a mesma equipe que desenvolve também trabalha com segurança da informação. Isso muda o resultado: a segurança entra no projeto, e não numa auditoria depois do incidente. Oferecemos revisão de código, testes de invasão, controle de acesso, cifra de dados e adequação à LGPD para os nossos sistemas e para os de terceiros.

Segurança como disciplina, não como etapa

A maior parte das falhas de segurança em sistemas corporativos não vem de ataques sofisticados, mas de controle de acesso frouxo, senhas reaproveitadas, dados sensíveis em texto puro e código que ninguém revisou. Tratamos segurança da informação como parte do desenvolvimento: auditorias em ciclos, correções que entram antes das funcionalidades e revisão de código a cada entrega. É o mesmo processo que aplicamos no software sob medida que desenvolvemos.

O que fazemos

• Revisão de código. Análise do código-fonte em busca de injeção, exposição de dados, falhas de autenticação e autorização, segredos no repositório e dependências vulneráveis.
• Testes de invasão. Testes autorizados em aplicações web, APIs e infraestrutura, com relatório de achados, gravidade e correção recomendada.
• Controle de acesso. Perfis e permissões por função, autenticação em dois fatores, acesso de emergência registrado e revisão periódica de quem acessa o quê.
• Cifra de dados sensíveis. Dados pessoais e de saúde cifrados em repouso e em trânsito, com gestão de chaves separada da aplicação.
• Infraestrutura. Servidores Linux e contêineres com atualização, segmentação de rede, monitoramento, backups cifrados e restauração testada.
• Adequação à LGPD. Inventário de dados pessoais, base legal, registro de operações, atendimento a pedidos do titular, política de retenção e plano de resposta a incidentes, na parte técnica.

LGPD em sistemas de saúde e RH

Dados de saúde são dados sensíveis pela LGPD. É o caso do prontuário no Lucas HIS e dos atestados médicos no eLaboral. Nesses sistemas, o CID e o conteúdo clínico ficam restritos ao serviço médico, os gestores veem indicadores agregados, cada acesso a um registro fica na trilha de auditoria e as instituições são isoladas entre si. Essa experiência é a que aplicamos quando um cliente precisa adequar um sistema que trata dados sensíveis. Veja os sistemas para saúde.

Segurança em integrações

Integrações entre sistemas transportam credenciais e dados pessoais. Usamos autenticação por chave ou certificado, transporte cifrado, credenciais segregadas por integração e registro de cada troca. Saiba mais em integração de sistemas.

Como começa um trabalho de segurança

1. Escopo. Quais sistemas, quais dados, o que está autorizado a testar.
2. Avaliação. Revisão de código, testes e levantamento do tratamento de dados.
3. Relatório e correção. Achados por gravidade, com plano de correção. Quando o sistema está sob nossa manutenção, as correções entram no ciclo de desenvolvimento.
4. Ciclo. Segurança não é entrega única: repetimos a avaliação em ciclos, porque sistemas e ameaças mudam.

Precisa avaliar a segurança de um sistema ou adequar o tratamento de dados à LGPD? Fale com a equipe.