Gestão da segurança

A forma como mantemos os seus projectos e dados seguros

Certificação ISO 27001
SGSI para a conceção, desenvolvimento e manutenção de software
Segurança incorporada
em práticas de SDLC e DevSecOps desde o primeiro dia
Equipes dedicadas
para serviços de cibersegurança, testes de penetração e proteção de dados

Como definimos a segurança no Innowise

Criamos segurança com base na mesma abordagem estruturada que utilizamos para gestão da qualidade, para que tanto o risco como a entrega estejam sob controlo.

  • A segurança começa antes do primeiro pedido
  • Um sistema para projectos, escritórios e nuvem
  • Responsabilidade partilhada, apropriação clara
A equipa de consultores analisa a análise no ecrã, centrando-se na estratégia e nas soluções de TI baseadas em dados
Consultores de software que coordenam as tarefas técnicas de desenvolvimento ágil e de gestão da segurança informática
Equipa de projeto de TI a colaborar na estratégia de transformação digital numa reunião de direção

A segurança começa antes do primeiro pedido

Tratamos cada compromisso como um projeto de segurança em primeiro lugar, e como um projeto de entrega em segundo lugar. Antes de nos ligarmos aos seus sistemas ou tocarmos nos seus dados, nós:
  • Assinar NDAs com funcionários e contratantes como parte da integração e do início do projeto
  • Definir por escrito o âmbito de acesso, os ambientes e as categorias de dados
  • Alinhar-se com os seus requisitos internos de segurança e privacidade, regras da indústria e legislação local
Estas medidas mantêm os limites do projeto claros e reduzem a possibilidade de, mais tarde, surgirem caminhos de acesso inesperados.

Um sistema para projectos, escritórios e nuvem

O Innowise gere um SGSI com certificação ISO 27001 que abrange a conceção, o desenvolvimento e a manutenção de software, soluções na nuvem e sistemas de informação. Isso significa que:
  • Utilizamos um conjunto unificado de políticas e controlos de segurança em todas as equipas
  • As revisões e auditorias de segurança aplicam-se tanto a infra-estruturas internas como a projectos de clientes
  • As alterações das normas ou dos regulamentos são tidas em conta nos nossos procedimentos, e não apenas num único projeto
Não se obtém uma “configuração de projeto seguro” única. Trabalha com uma empresa que trabalha diariamente com rotinas de segurança.

Responsabilidade partilhada, apropriação clara

A segurança é partilhada entre o Innowise e a sua equipa, mas mantemos os limites de propriedade bem definidos:
  • O utilizador controla as regras de negócio, a classificação dos dados e a apetência final pelo risco
  • Possuímos práticas de engenharia seguras, ambientes de projeto e o nosso pessoal conduz
  • Grupos de trabalho conjuntos decidem sobre modelos de acesso, ambientes e ferramentas de terceiros
Isto mantém as decisões transparentes e rastreáveis quando o projeto cresce ou surgem mais fornecedores.

A segurança começa antes do primeiro pedido

Tratamos cada compromisso como um projeto de segurança em primeiro lugar, e como um projeto de entrega em segundo lugar. Antes de nos ligarmos aos seus sistemas ou tocarmos nos seus dados, nós:
  • Assinar NDAs com funcionários e contratantes como parte da integração e do início do projeto
  • Definir por escrito o âmbito de acesso, os ambientes e as categorias de dados
  • Alinhar-se com os seus requisitos internos de segurança e privacidade, regras da indústria e legislação local
Estas medidas mantêm os limites do projeto claros e reduzem a possibilidade de, mais tarde, surgirem caminhos de acesso inesperados.
A equipa de consultores analisa a análise no ecrã, centrando-se na estratégia e nas soluções de TI baseadas em dados

Um sistema para projectos, escritórios e nuvem

O Innowise gere um SGSI com certificação ISO 27001 que abrange a conceção, o desenvolvimento e a manutenção de software, soluções na nuvem e sistemas de informação. Isso significa que:
  • Utilizamos um conjunto unificado de políticas e controlos de segurança em todas as equipas
  • As revisões e auditorias de segurança aplicam-se tanto a infra-estruturas internas como a projectos de clientes
  • As alterações das normas ou dos regulamentos são tidas em conta nos nossos procedimentos, e não apenas num único projeto
Não se obtém uma “configuração de projeto seguro” única. Trabalha com uma empresa que trabalha diariamente com rotinas de segurança.
Consultores de software que coordenam as tarefas técnicas de desenvolvimento ágil e de gestão da segurança informática

Responsabilidade partilhada, apropriação clara

A segurança é partilhada entre o Innowise e a sua equipa, mas mantemos os limites de propriedade bem definidos:
  • O utilizador controla as regras de negócio, a classificação dos dados e a apetência final pelo risco
  • Possuímos práticas de engenharia seguras, ambientes de projeto e o nosso pessoal conduz
  • Grupos de trabalho conjuntos decidem sobre modelos de acesso, ambientes e ferramentas de terceiros
Isto mantém as decisões transparentes e rastreáveis quando o projeto cresce ou surgem mais fornecedores.
Equipa de projeto de TI a colaborar na estratégia de transformação digital numa reunião de direção

O nosso quadro de gestão da segurança

Agrupamos a gestão da segurança no Innowise em quatro pilares práticos.

01/04

Gestão segura de activos

Registamos o que tocamos e como o tratamos:
  • Inventários de todos os activos relacionados com o cliente no âmbito: código, ambientes, armazéns de dados, integrações
  • Classificação de dados e sistemas por sensibilidade e impacto comercial
  • Registos de risco que identificam ameaças, pontos fracos e salvaguardas planeadas
  • Regras do ciclo de vida dos dados para criação, utilização, transferência, arquivo e eliminação
Isto dá-lhe uma visão concreta dos activos que estão onde, quem os utiliza e como os protegemos.
02/04

Ambiente seguro

Criamos e operamos ambientes empresariais e de projectos com proteção em camadas:
  • Segurança de rede: VPN, segmentação, gateways seguros e monitorização do tráfego
  • Segurança dos pontos terminais: estações de trabalho geridas pela empresa, encriptação de discos, EDR/antivírus e políticas de dispositivos
  • Ambientes seguros de desenvolvimento e teste: VMs ou contentores isolados, ambientes separados para desenvolvimento/teste/estágio/produção
  • Armazenamento de senhas e segredos: cofres protegidos para segredos, sem partilha por chat ou correio eletrónico
  • Salvaguardas físicas nos locais de trabalho: zonas de acesso controlado, regras para os visitantes e vigilância, se for caso disso
Para projectos de alta sensibilidade, podemos providenciar salas de projeto dedicadas, redes isoladas e hospedeiros de salto reforçados.
03/04

Operações seguras

Integramos a segurança operacional no trabalho quotidiano:
  • Autenticação forte: autenticação multi-fator nos sistemas da empresa e nos principais recursos do projeto
  • Princípio do menor privilégio: acesso baseado na função, tarefa e tempo, não na conveniência
  • Encriptação: proteção de dados sensíveis em repouso e em trânsito com normas criptográficas modernas
  • Monitorização contínua: registos de infra-estruturas e ferramentas de segurança, com alertas para actividades suspeitas
  • Gestão de incidentes: manuais documentados, equipas de resposta e vias de comunicação para eventos de segurança
Isto dá-lhe proteção operacional e não apenas listas de verificação.
04/04

Sensibilização e cultura de segurança

As ferramentas e as políticas falham se as pessoas não souberem como as utilizar. Mantemos a segurança presente nas rotinas de trabalho diárias:
  • Integração da segurança para cada novo especialista, incluindo a assinatura de NDA e regras de utilização aceitáveis
  • Formação interna regular sobre desenvolvimento seguro, configuração segura, tratamento de dados e engenharia social
  • Sessões específicas por função para programadores, DevOps, testadores, gestores e pessoal de apoio
  • Análises e entrevistas internas para verificar se as pessoas seguem as práticas e não apenas passam nos testes de aprendizagem eletrónica
O objetivo é simples: cada especialista compreende o que significa “comportamento seguro” na sua função e no seu projeto.
01

Gestão segura de activos

02

Ambiente seguro

03

Operações seguras

04

Sensibilização e cultura de segurança

A NOSSA EQUIPA
Confiar em alguém que protege a sua segurança

Com o Innowise, a segurança está presente em todos os projectos e versões

Segurança em todas as fases do nosso ciclo de vida de desenvolvimento

1. Formação e integração

Antes do início de qualquer projeto, os membros da equipa:

  • Assinar NDAs empresariais e regras de utilização da rede
  • Saiba como lidamos com os dados, credenciais e ambientes do cliente
  • Receber formação baseada em funções sobre princípios de desenvolvimento e teste seguros

Desta forma, o seu projeto terá uma equipa que já tem uma mentalidade de segurança quando entra.

Durante a iniciação, em conjunto com a sua equipa, nós:

  • Exprima as suas preocupações de segurança e privacidade em termos concretos
  • Acordar a propriedade do ambiente (cliente, Innowise ou terceiros) e os locais de alojamento
  • Definir quais as normas e regulamentos aplicáveis (por exemplo, RGPD, HIPAA, PCI DSS, SOC 2, regras bancárias locais)
  • Decidir sobre ferramentas, estruturas e componentes tendo em atenção a maturidade, o historial do fornecedor e o historial de correcções

No final da iniciação, sabemos o que podemos utilizar, onde podemos aplicá-lo e quais os limites que não devemos ultrapassar.

Na fase de análise e conceção, documentamos a forma como a segurança se relaciona com o comportamento do produto:

  • Requisitos de segurança funcionais e não funcionais (autenticação, controlo de acesso, auditoria, retenção de dados)
  • Modelos de ameaças para fluxos de utilizadores e integrações importantes
  • Diagramas de fluxo de dados com controlos de segurança em cada ligação
  • Regras de classificação de dados e tratamento especial para campos sensíveis (PII, PHI, dados financeiros)
  • Requisitos de registo, auditoria e monitorização para posterior investigação de incidentes

Isto reduz a possibilidade de uma caraterística passar nos testes de aceitação mas expor dados ou criar caminhos de ataque ocultos.

As tarefas de segurança são colocadas na mesma lista de pendências que as funcionalidades, e não numa folha de cálculo separada:

  • Actividades de segurança ligadas a etapas e sprints
  • Tempo reservado para revisões de código, análise estática e testes de segurança
  • Planos para actualizações de dependências, tarefas de reforço e controlo de dívidas técnicas
  • Registo de riscos e plano de atenuação actualizados com cada novo elemento do âmbito

A segurança torna-se visível e rastreável, tal como qualquer outro trabalho.

Durante o desenvolvimento, utilizamos práticas repetíveis que ajudam a manter o código e os ambientes seguros:

  • Conjuntos de ferramentas e modelos de configuração aprovados para construção, teste e implantação
  • Controlo de versões com ramos protegidos e pedidos pull revistos
  • Normas de codificação que abrangem a validação de dados, o tratamento de erros, a autenticação e a criptografia
  • Testes estáticos de segurança de aplicações (SAST) e verificação de dependências em pipelines de CI/CD
  • Supervisão técnica por engenheiros seniores e especialistas em segurança para tarefas complexas

Reduzimos os passos manuais “heróicos” e baseamo-nos em fluxos de trabalho repetíveis que deixam menos lacunas.

Antes do envio, efectuamos uma última ronda de verificações centradas na segurança e no risco operacional:

  • Revisão final do código com atenção aos restos de código de teste, módulos não utilizados e atalhos perigosos
  • Confirmação de que não existem segredos, chaves ou palavras-passe no código ou em repositórios públicos
  • Configuração separada para desenvolvimento, teste, preparação e produção com acesso restrito a definições sensíveis
  • Testes de segurança e de penetração, sempre que o âmbito e o orçamento o permitam, utilizando as equipas de cibersegurança do Innowise
  • Entrega da documentação de segurança: modelos de ameaças, diagramas de arquitetura, manuais de administração e manuais de execução

Quando a solução entra em funcionamento, o utilizador recebe o produto e as informações necessárias para o executar e auditar.

A segurança não pára no lançamento. Durante o suporte e a evolução, nós:

  • Monitorizar o desempenho e os bilhetes de incidentes para detetar sinais de utilização indevida ou comportamento anormal
  • Detetar vulnerabilidades nas bibliotecas e plataformas em utilização
  • Planear actualizações de segurança e tarefas de reforço como parte de lançamentos regulares
  • Efetuar novos testes após grandes alterações para evitar regressões

Isto mantém o seu sistema alinhado com as ameaças em mudança e as actualizações da plataforma.

Como protegemos os seus dados e a sua propriedade intelectual

Abordagem NDA-first

Protegemos os seus dados com NDAs assinados por todo o pessoal e termos específicos do projeto. Mantém a propriedade de todas as informações, desenhos e códigos partilhados connosco.

Controlo de acesso e segregação

O acesso baseia-se em funções e é regularmente revisto, com repositórios separados para cada projeto. As credenciais são armazenadas de forma segura e a partilha através de canais não seguros é proibida.

Ciclo de vida e eliminação de dados

Mantemos políticas claras de retenção de dados e garantimos a eliminação segura ou a devolução após a conclusão do projeto. Saberá sempre quais os dados que permanecem e onde estão armazenados.

Como medimos a segurança

Baseamo-nos em indicadores mensuráveis e não na intuição.

Métricas de modelação de ameaças

  • Número de modelos de ameaças por sistema ou conjunto de caraterísticas
  • Número de ameaças identificadas e sua gravidade
  • É altura de enfrentar as ameaças de elevada gravidade
  • Rever a cadência dos modelos de ameaças quando a arquitetura muda

Métricas de código e engenharia

  • Percentagem de código abrangido por revisão e análise estática
  • Contagens de vulnerabilidades de dependência e tempo para correção
  • Violações das diretrizes de codificação segura detectadas em CI/CD
  • Itens da dívida técnica relacionados com a segurança e a sua tendência ao longo do tempo

Métricas de testes e incidentes

  • Volume e gravidade dos resultados dos testes de penetração e das análises de vulnerabilidades
  • Tempo desde a deteção até à correção de problemas de segurança de alto risco
  • Número de incidentes de segurança por tipo e causa principal
  • Tempo médio de deteção (MTTD) e tempo médio de recuperação (MTTR) para eventos de segurança

Métricas de pessoas e de consciencialização

  • Taxas de conclusão da formação para cursos de segurança obrigatórios
  • Resultados de verificações de conhecimentos e simulações (por exemplo, campanhas de phishing)
  • Número de sugestões ou relatórios de segurança provenientes das equipas de projeto
Estes números ajudam-nos a detetar precocemente os pontos fracos e a concentrarmo-nos nas áreas que necessitam de atenção.
A NOSSA EQUIPA
Pretende um fornecedor que trate a sua segurança como se fosse a sua própria segurança?

Com o Innowise, a segurança está presente em todos os documentos do projeto, em todos os ambientes e em todas as implementações.

O que os clientes obtêm da nossa gestão de segurança

Toda esta estrutura e prática tem como objetivo produzir resultados práticos.

Entrega mais segura e com menos surpresas

A segurança é abordada desde o início, não no go-live. Identificamos atalhos arriscados com antecedência e garantimos que o acesso, os fluxos de dados e os ambientes tenham propriedade e documentação claras.

Menos despesas gerais de segurança para a sua equipa

A sua equipa evita microgerir os aspectos básicos da segurança. Gerimos a integração, o controlo de acesso e as ferramentas, e fornecemos testes de segurança especializados e documentação detalhada para auditorias.

Um terreno mais sólido para as auditorias e as entidades reguladoras

A segurança está integrada em processos certificados, proporcionando-lhe uma documentação clara e alinhada com a norma ISO 27001. Pode facilmente rastrear decisões de acesso, ambientes e controlos.

    Contactar-nos

    Marcar uma chamada ou preencha o formulário abaixo e entraremos em contacto consigo assim que tivermos processado o seu pedido.

    Envie-nos uma mensagem de voz
    Anexar documentos
    Enviar ficheiro

    Pode anexar um ficheiro com um máximo de 2MB. Formatos de ficheiro válidos: pdf, jpg, jpeg, png.

    Ao clicar em Enviar, o utilizador autoriza a Innowise a processar os seus dados pessoais de acordo com a nossa Política de privacidade para lhe fornecer informações relevantes. Ao enviar o seu número de telefone, o utilizador aceita que o possamos contactar através de chamadas de voz, SMS e aplicações de mensagens. Poderão ser aplicadas tarifas de chamadas, mensagens e dados.

    Pode também enviar-nos o seu pedido
    para contact@innowise.com
    O que é que acontece a seguir?
    1

    Assim que recebermos e processarmos o seu pedido, entraremos em contacto consigo para necessidades do seu projeto e assinar um NDA para garantir a confidencialidade.

    2

    Depois de analisar os seus desejos, necessidades e expectativas, a nossa equipa elaborará uma proposta de projeto com o âmbito do trabalho, a dimensão da equipa, o tempo e as estimativas de custos.

    3

    Marcaremos uma reunião consigo para discutir a oferta e acertar os pormenores.

    4

    Por fim, assinaremos um contrato e começaremos a trabalhar no seu projeto imediatamente.

    seta