Política de Segurança da Informação (PSI)

1. Objetivo

Estabelecer princípios e controles de segurança aplicados ao Sistema Rabi e aos dados nele tratados, em conformidade com a LGPD e boas práticas internacionais.

2. Princípios

• Confidencialidade: dados acessíveis apenas a quem tem necessidade legítima
• Integridade: dados protegidos contra alteração não autorizada
• Disponibilidade: dados disponíveis quando necessários (SLA 99,5%)
• Privacy by design e by default
• Princípio do menor privilégio
• Defesa em profundidade (camadas múltiplas)

3. Controles técnicos

3.1 Criptografia

• Trânsito: TLS 1.2 ou superior em todas as comunicações
• Repouso: AES-256 no banco PostgreSQL (Oracle Cloud)
• Senhas: hash bcrypt com salt único (Keycloak)
• Backups: criptografados antes do upload para storage

3.2 Controle de acesso

• Autenticação SSO via Keycloak (rabisystems-hmg / rabisystems realm)
• Política de senha forte (mínimo 8 caracteres, com complexidade)
• Bloqueio após 5 tentativas falhas
• Sessão expira após 8 horas de inatividade
• MFA/TOTP para perfis administrativos (#602): a exigência automática foi testada e retirada em 29/09/2026 — hoje não é obrigatória pelo sistema; a configuração de cada ambiente deve ser confirmada com o time Rabi. O bloqueio por excesso de tentativas continua (proteção padrão do login).
• Controle de acesso por perfis — desde 15/09/2026 (#395) as permissões são granulares: por funcionalidade e por ação (visualizar, criar, alterar e excluir, além de ações elevadas — agir em registro de outro colaborador, cancelar e excluir em status final — nos módulos de agendamento e atendimentos), com perfis e grupos configuráveis pela própria clínica e sincronizados com o Keycloak (atualização de 30/09/2026; antes: papéis com VIEW/CREATE/UPDATE/DELETE por módulo). Desde 01/10/2026, salvar um perfil aplica a todos os usuários dele (#636); desde 02/10/2026, usuário desativado é barrado na hora. Desde 13–14/10/2026 (#663/#666/#669, em produção): limite de tentativas na senha de aprovação de desconto e na aprovação presencial, conferência de permissão no servidor em mais telas, encerramento do acesso em todas as clínicas ao sair e limites de itens por página. Em preparação (não em produção): negar por padrão quando não há permissão configurada (#667)

3.3 Isolamento multi-tenant

• Cada cliente possui schema PostgreSQL dedicado (tenant_*)
• Conexões parametrizadas via Prisma — impossibilidade técnica de query cross-tenant
• Backup/restore granular por cliente

3.4 Logs e auditoria

• Tabela Actions registra: quem, quando, o quê, valores anteriores e novos
• Logs retidos por 5 anos
• Logs imutáveis (append-only) — auditoria não pode ser apagada por usuários
• Acesso a logs restrito a Admins + DPO

Nota técnica 13/10/2026 (rascunho a revisar): a garantia de que o histórico de auditoria não pode ser apagado e a guarda de CPF/RG criptografados no banco fazem parte do pacote de segurança #670, ainda em preparação (não em produção). Desde 02/10/2026 o histórico de alterações do convênio por aba (#638) e os registros financeiros têm histórico consultável na tela. Gravar no log só o campo alterado (#627) também é roadmap. Ajustar esta seção quando o pacote for publicado.

3.5 Backup e recuperação

• Backup completo diário (00h-04h)
• Retenção: 90 dias
• Backup off-site (storage OCI separado)
• RTO: 4 horas · RPO: 24 horas
• Teste de restore: trimestral

3.6 Proteção de aplicação

• WAF (Web Application Firewall) — Oracle Cloud nativo
• Rate-limiting nos endpoints públicos
• Proteção CSRF, XSS, SQL Injection (Prisma parametrizado + headers de segurança)
• Dependency scanning automático (Dependabot / npm audit)
• Code review obrigatório antes de merge para main

4. Controles organizacionais

• Funcionários com acesso a dados sensíveis assinam Termo de Sigilo
• Treinamento LGPD obrigatório anual
• Revisão semestral de permissões e acessos
• Política de mesa limpa (clean desk)
• Bloqueio automático de tela após 5 min de inatividade

5. Gestão de incidentes

Detalhamento em Plano de Resposta a Incidentes.

6. Fornecedores e suboperadores

Todos os fornecedores com acesso a dados são contratualmente obrigados a cumprir LGPD. Suboperadores principais:

• Oracle Cloud Infrastructure — hospedagem (regiões Brasil)
• Asaas — gateway de pagamento
• Keycloak — autenticação SSO

7. Conformidade

• LGPD — Lei 13.709/2018
• CFM 1.821/2007 e 2.299/2021 — Prontuário Eletrônico
• CFM Código de Ética — Sigilo Profissional
• SBIS-CFM — buscando certificação NGS1 inicial (ver guia)
• ISO 27001 — referência de boas práticas (não-certificado)

8. Vigência e revisão

Esta política é revisada anualmente ou sempre que houver mudança significativa em arquitetura, leis ou ameaças.