Política de Segurança da Informação (PSI)

1. Objetivo

Estabelecer princípios e controles de segurança aplicados ao Sistema Rabi e aos dados nele tratados, em conformidade com a LGPD e boas práticas internacionais.

2. Princípios

• Confidencialidade: dados acessíveis apenas a quem tem necessidade legítima
• Integridade: dados protegidos contra alteração não autorizada
• Disponibilidade: dados disponíveis quando necessários (SLA 99,5%)
• Privacy by design e by default
• Princípio do menor privilégio
• Defesa em profundidade (camadas múltiplas)

3. Controles técnicos

3.1 Criptografia

• Trânsito: TLS 1.2 ou superior em todas as comunicações
• Repouso: AES-256 no banco PostgreSQL (Oracle Cloud)
• Senhas: hash bcrypt com salt único (Keycloak)
• Backups: criptografados antes do upload para storage

3.2 Controle de acesso

• Autenticação SSO via Keycloak (rabisystems-hmg / rabisystems realm)
• Política de senha forte (mínimo 8 caracteres, com complexidade)
• Bloqueio após 5 tentativas falhas
• Sessão expira após 8 horas de inatividade
• 2FA disponível (a implementar para perfis administrativos)
• RBAC — papéis (Roles) definem permissões granulares (VIEW, CREATE, UPDATE, DELETE) por módulo

3.3 Isolamento multi-tenant

• Cada cliente possui schema PostgreSQL dedicado (tenant_*)
• Conexões parametrizadas via Prisma — impossibilidade técnica de query cross-tenant
• Backup/restore granular por cliente

3.4 Logs e auditoria

• Tabela Actions registra: quem, quando, o quê, valores anteriores e novos
• Logs retidos por 5 anos
• Logs imutáveis (append-only) — auditoria não pode ser apagada por usuários
• Acesso a logs restrito a Admins + DPO

3.5 Backup e recuperação

• Backup completo diário (00h-04h)
• Retenção: 90 dias
• Backup off-site (storage OCI separado)
• RTO: 4 horas · RPO: 24 horas
• Teste de restore: trimestral

3.6 Proteção de aplicação

• WAF (Web Application Firewall) — Oracle Cloud nativo
• Rate-limiting nos endpoints públicos
• Proteção CSRF, XSS, SQL Injection (Prisma parametrizado + headers de segurança)
• Dependency scanning automático (Dependabot / npm audit)
• Code review obrigatório antes de merge para main

4. Controles organizacionais

• Funcionários com acesso a dados sensíveis assinam Termo de Sigilo
• Treinamento LGPD obrigatório anual
• Revisão semestral de permissões e acessos
• Política de mesa limpa (clean desk)
• Bloqueio automático de tela após 5 min de inatividade

5. Gestão de incidentes

Detalhamento em Plano de Resposta a Incidentes.

6. Fornecedores e suboperadores

Todos os fornecedores com acesso a dados são contratualmente obrigados a cumprir LGPD. Suboperadores principais:

• Oracle Cloud Infrastructure — hospedagem (regiões Brasil)
• Asaas — gateway de pagamento
• Keycloak — autenticação SSO

7. Conformidade

• LGPD — Lei 13.709/2018
• CFM 1.821/2007 e 2.299/2021 — Prontuário Eletrônico
• CFM Código de Ética — Sigilo Profissional
• SBIS-CFM — buscando certificação NGS1 inicial (ver guia)
• ISO 27001 — referência de boas práticas (não-certificado)

8. Vigência e revisão

Esta política é revisada anualmente ou sempre que houver mudança significativa em arquitetura, leis ou ameaças.