Segurança e compliance na N5

Segurança de infraestrutura

• Segregação de ambientes e clientes. As cargas produtivas, não produtivas e de clientes rodam em ambientes cloud estritamente segregados sob governança central
• Infraestrutura sem exposição pública. As cargas produtivas rodam em infraestrutura privada, nunca expostas diretamente à internet
• Backups centralizados. Backups automáticos, gerenciados centralmente e regidos por uma política formal de backup
• Infraestrutura como código. Toda mudança de infraestrutura é revisada por pares e implantada por pipelines controlados e auditáveis, sob uma política formal de gestão de mudanças
• Isolamento single-tenant. Cada cliente roda em infraestrutura dedicada com bancos de dados, chaves de criptografia e controles de acesso separados
• Linhas de base de hardening. Os sistemas são configurados conforme CIS Benchmarks e diretrizes de configuração segura do NIST

Segurança de dados

• Criptografia em repouso. Todos os armazenamentos de dados são criptografados em repouso (AES-256) com chaves gerenciadas centralmente
• Criptografia em trânsito. TLS 1.2+ em todo o tráfego
• Anonimização de dados. Procedimento formal de anonimização de dados pessoais
• Tratamento da informação. Política de classificação e tratamento de dados
• Chaves gerenciadas pelo cliente. Suporte a bring-your-own-key (BYOK); chaves protegidas em HSMs FIPS 140-2 Nível 3 com gestão formal de ciclo de vida
• Exclusão e portabilidade de dados. Ao fim do contrato, os dados do cliente são exportados em formatos abertos e excluídos com segurança e certificação
• Residência de dados. O cliente escolhe a região cloud onde seus dados são processados e armazenados

Segurança de aplicações

• Ciclo de desenvolvimento seguro. Política de desenvolvimento seguro com SAST e varredura de dependências no CI
• Gestão de vulnerabilidades. Procedimento formal apoiado por varredura contínua e detecção de ameaças nativa da nuvem
• Pentest anual. Ethical hacking anual por terceiros, obrigatório por política
• Proteção de perímetro. Proteções WAF e anti-DDoS nos serviços expostos, alinhadas ao OWASP Top 10

Segurança de endpoints

• Gestão de dispositivos. Política de gestão de dispositivos corporativos
• Programa BYOD. Política gerenciada de bring-your-own-device
• Detecção e resposta em endpoints. EDR em todas as estações de trabalho envolvidas na entrega do serviço
• Prevenção de perda de dados em endpoints. Mídias removíveis, software não autorizado e canais de transferência não aprovados bloqueados nos dispositivos gerenciados

Segurança de rede

• Auditoria centralizada. Logs de auditoria imutáveis de toda a infraestrutura cloud, coletados e retidos centralmente
• Inteligência de ameaças. SIEM e programa de threat intelligence operacionais
• Segmentação de rede. Os ambientes rodam em redes segmentadas sem conectividade direta entre si
• Monitoramento de segurança 24x7. Monitoramento contínuo de segurança com alertas por severidade e escalonamento de incidentes

Segurança corporativa

• SSO e MFA. Single sign-on corporativo com autenticação multifator obrigatória para todo o pessoal
• Trabalho remoto seguro. Política de trabalho remoto
• Gestão de fornecedores. Política de classificação e due diligence de fornecedores; fornecedores críticos devem possuir ISO 27001 ou SOC 2
• Recuperação de desastres. DRP documentado com testes periódicos
• Privilégio mínimo e segregação de funções. Acesso por papéis sob privilégio mínimo; administração de produto e de segurança são papéis separáveis
• Treinamento de conscientização em segurança. Treinamento de segurança recorrente para todo o pessoal; cláusulas de confidencialidade em todos os contratos

Segurança do produto

• SSO corporativo. Os provedores de identidade do cliente se integram via SAML 2.0 e OpenID Connect; OAuth 2.0 e TLS mútuo para integração entre serviços
• Autenticação multifator. MFA aplicável aos usuários da plataforma; sempre obrigatória para perfis administrativos
• Controle de acesso por papéis. RBAC granular gerenciado pelo cliente: criação de papéis, atribuição de permissões e de usuários
• Provisionamento de identidades. Provisionamento automático de usuários a partir do gestor de identidades do cliente via protocolos padrão
• Logs de auditoria e exportação. Trilhas de auditoria imutáveis da aplicação com retenção de longo prazo, exportáveis ao SIEM do cliente via API ou SFTP

Objetivo de Tempo de Recuperação (RTO)

4 horas

Ajustável por contrato

Objetivo de Ponto de Recuperação (RPO)

10 horas

Ajustável por contrato

Modelo de tenancy

Single-tenant por cliente

Infraestrutura, bancos de dados, chaves de criptografia e controles de acesso dedicados

Residência de dados

Região cloud à escolha do cliente

Implantações disponíveis nas Américas e na Europa

Modelos de implantação

SaaS, nuvem privada ou autogerenciado

Capacidades de plataforma consistentes em AWS, Azure e GCP

Ambientes

Desenvolvimento, QA, Staging, Produção

Estritamente segregados, com dados anonimizados fora de produção

Suporte

24x7 com SLAs por severidade

Matriz de escalonamento e documentos de SLA disponíveis sob NDA

Dados ao fim do contrato

Exportação em formatos abertos + exclusão certificada

Exclusão segura em até 10 dias úteis do fim do contrato, com certificação

Tenancy privada de IA

As funcionalidades de IA rodam em um tenant dedicado por cliente. Os dados do cliente nunca são usados para treinar modelos de terceiros ou compartilhados, e nunca saem do ambiente da sua solução

Fornecedores de IA sob gestão de fornecedores

Os fornecedores de IA de terceiros são divulgados como subprocessadores e passam pela mesma due diligence de segurança que qualquer fornecedor crítico

Trilha de auditoria completa da IA

Os prompts, acessos a dados e decisões assistidas por IA ficam registrados em trilhas de auditoria imutáveis

Decisões explicáveis

As decisões assistidas por IA carregam códigos de razão configuráveis e estratégias autodocumentadas, permitindo explicar os resultados a auditores, reguladores e usuários finais

Supervisão humana e controles de viés

Usuários de negócio revisam e ajustam os modelos continuamente; testes champion/challenger e aprovações por papel mantêm as mudanças de modelos sob controle humano

Proteções contra ataques adversariais

Validação de datasets, monitoramento de comportamento anômalo de modelos e proteção de endpoints de inferência contra data poisoning, inversão e extração de modelos

IA no escopo de testes de segurança

Os componentes de IA estão incluídos na varredura contínua de segurança e no pentest anual de terceiros

Alinhamento com regulação de privacidade

O processamento de dados por IA se alinha à GDPR e à LGPD, com um motor de consentimento e anonimização de dados pessoais no pipeline de dados