Segurança desde a conceção
Desenvolvimento seguro de software
Desenvolvemos e mantemos aplicações num sistema certificado no Esquema Nacional de Segurança categoria MÉDIA. Cada alteração passa por análises automáticas de segurança antes de chegar à produção: é a garantia de qualidade do nosso software à medida e dos nossos produtos.
Abordagem
A segurança, dentro do ciclo de desenvolvimento
A nossa certificação ENS tem precisamente como âmbito os sistemas de informação que suportam o desenvolvimento e a manutenção de aplicações informáticas. A segurança não é revista no fim: é verificada automaticamente em cada alteração e deixa evidências auditáveis.
- Requisitos de segurança desde a conceção: controlo de acesso, registo de atividade e proteção da informação.
- Análises automáticas que bloqueiam a integração quando encontram problemas graves.
- Resultados publicados em cada revisão e relatórios conservados como evidência.
- O que não foi possível analisar é indicado expressamente: não se dá por válido.
- O código escrito com a ajuda da IA é revisto por um programador e passa pelas mesmas análises (utilização segura da IA).
Pipeline de segurança
O que verificamos em cada alteração
As análises são executadas nos nossos pipelines de integração contínua. Se uma análise não superar o respetivo limiar, a alteração não é integrada até ser corrigida ou justificada.
-
Inspeção
Alteração revista
Todas as alterações entram através de um pedido de integração (pull request) no qual são executadas as análises e publicados os respetivos resultados.
Nada é integrado sem revisão nem sem as análises.
-
SAST
Análise estática com Semgrep
Regras de código, conformidade, infraestrutura e segredos, além de regras próprias associadas às medidas do ENS e da ISO/IEC 27001.
Bloqueia as deteções de gravidade alta.
-
SCA
Dependências e imagens com Trivy
Procura CVE conhecidas nos pacotes e nas imagens de contentor que passam para produção.
Bloqueia as CVE altas ou críticas com correção disponível.
-
DAST
Testes dinâmicos com OWASP ZAP
Testa a aplicação em execução, sem credenciais (caixa negra) e autenticada (caixa cinzenta).
Bloqueia as deteções de risco alto.
A análise dinâmica ativa só é lançada contra ambientes efémeros ou de pré-produção cujos dados possam ser perdidos, nunca contra os dados reais de um cliente. As exceções a uma CVE sem correção compatível são aceites com o respetivo motivo documentado.
Configuração segura
Cabeçalhos, políticas e infraestrutura
As aplicações web são publicadas com cabeçalhos de segurança restritivos. Este mesmo site é servido com eles e sem recursos de terceiros.
- Política de segurança de conteúdos (CSP) estrita, sem scripts nem estilos em linha
- HTTPS obrigatório com HSTS
- Proteção contra a inserção em frames de outros sites
- Permissões do navegador limitadas (câmara, microfone, localização, pagamentos)
- Política de referência e isolamento entre origens
- Controlo do tipo de conteúdo (nosniff)
Infraestrutura como código revista
Os ficheiros de implementação também passam pela análise estática, com regras próprias alinhadas com as medidas de configuração de segurança do ENS: imagens com versão fixa, segredos fora do código, bases de dados não expostas, contentores sem privilégios e redes internas cifradas.
Em produtos como o CIGES, o acesso admite diretório corporativo (LDAP) ou início de sessão único e autenticação de dois fatores; no ACAE, fica também registo das ações de cada utilizador.
Gestão de vulnerabilidades
Vulnerabilidades com identificador CVE
Somos Autoridade de Numeração CVE (CNA), sob a supervisão do INCIBE. Quando é descoberta uma vulnerabilidade num dos nossos produtos, corrigimo-la, avisamos os clientes afetados antes da sua divulgação pública e publicamo-la com o respetivo identificador CVE e a versão que a corrige.
Perguntas frequentes
Dúvidas sobre o desenvolvimento seguro
Qual é a diferença entre SAST, SCA e DAST?
O SAST analisa o código-fonte sem o executar; o SCA verifica as bibliotecas e as imagens de terceiros à procura de vulnerabilidades conhecidas (CVE); o DAST ataca a aplicação em execução tal como o faria um utilizador externo. Complementam-se: cada um deteta problemas que os outros não veem.
Que medidas do ENS abrange o desenvolvimento seguro?
Principalmente as de proteção das aplicações informáticas: desenvolvimento de aplicações (mp.sw.1) e aceitação e entrada em serviço (mp.sw.2), além da configuração de segurança e da gestão de vulnerabilidades do quadro operacional. Na ISO/IEC 27001:2022, correspondem aos controlos de ciclo de vida de desenvolvimento seguro, codificação segura e testes de segurança.
O que acontece se for descoberta uma vulnerabilidade num dos vossos produtos?
É avaliada, corrigida e os clientes afetados são avisados antes da divulgação pública, de acordo com a nossa política de divulgação de vulnerabilidades. Enquanto Autoridade de Numeração CVE, atribuímos-lhe um identificador CVE e publicamo-la na lista de vulnerabilidades.
Podem aplicar este processo a um desenvolvimento à medida para a minha organização?
Sim. Os projetos de software à medida são desenvolvidos com o mesmo processo, dentro do âmbito da nossa certificação ENS MÉDIA.
Precisa de software seguro para a sua organização?
Desenvolvemos aplicações à medida num sistema certificado no ENS categoria MÉDIA.
