Arquitetos de Software
Visão Geral
Arquitetos desenham soluções que resistem ao tempo e às ameaças.
Garantem que princípios de segurança estão embutidos nas decisões estruturais desde o início. Aplicam padrões seguros desde a fundação.
Responsabilidades Principais
- Desenham soluções com padrões seguros (Cap. 04)
- Antecipam implicações de risco em integrações e fluxos de dados
- Garantem consistência da arquitetura em pipelines, IaC e deploys
- Tomam decisões arquiteturais documentadas (ADR)
- São donos das regras de desenho: aceitam as policies que as verificam de forma automática e aprovam as exceções a essas regras
Contexto Organizacional
O trabalho dos arquitetos suporta princípios de security by design previstos em GDPR, AI Act e também obrigações de NIS2 relacionadas com planeamento de medidas técnicas adequadas. Sem arquitetura segura, correções posteriores são caras e ineficazes.
Enquadramento Regulatório
Concretizam:
- GDPR (proteção de dados desde a conceção, art. 25.º) e AI Act (sistemas de IA de risco elevado «concebidos e desenvolvidos de maneira que alcancem um nível apropriado de exatidão, solidez e cibersegurança», art. 15.º, n.º 1)
- NIS2: Medidas técnicas estruturais adequadas
Atividades por Capítulo
Cap. 02 - Requisitos de Segurança
Rever classificação e requisitos sempre que ocorra integração crítica ou mudança estrutural relevante.
User Stories:
- US-02: Revisão em alterações críticas - Atualizar controlos e rastreabilidade
Cap. 03 - Threat Modeling
Criar modelo de ameaça inicial com DFDs e STRIDE/LINDDUN, validar arquitetura identificando ameaças críticas antes do design, atualizar modelo em alterações significativas, aplicar LINDDUN quando há tratamento de dados pessoais.
User Stories:
- US-01: Modelo de ameaça inicial - Riscos visíveis desde o início
- US-02: Validação de arquitetura via threat modeling - Identificar ameaças antes do design
- US-03: Atualização em alterações significativas - Manter modelo válido
- US-06: Aplicação de LINDDUN para privacidade - Cobertura de ameaças GDPR
Cap. 04 - Arquitetura Segura
Definir princípios de arquitetura segura, produzir ficha de arquitetura com controlos, registar decisões (ADR) com racional de segurança, rever trust boundaries e integrações, sincronizar modelo de ameaças com decisões, manter triggers de revisão, catálogo de padrões seguros, especificar controlos de isolamento, executar threat modeling no design inicial L2-L3.
User Stories:
- US-01: Princípios de arquitetura segura - Orientar decisões técnicas
- US-02: Ficha de arquitetura com controlos - Solução segura e escalável
- US-07: Registro de decisões (ADR) - Rastreabilidade e consistência
- US-08: Revisão de trust boundaries - Validar autenticação, autorização, isolamento
- US-09: Sincronização threat model ↔ arquitetura - Controlos cobrem ameaças
- US-10: Triggers de revisão de arquitetura - Documentação atualizada
- US-11: Catálogo de padrões seguros - Reutilização de designs validados
- US-12: Controlos de isolamento técnico - Resiliência a sobre-carga e falhas
- US-15: Identificação e governação de componentes não determinísticos - Especificar controlos proporcionais
Cap. 08 - IaC e Infraestrutura
Colaborar na segregação de ambientes com tagging e permissões mínimas, governar módulos IaC com origem confiável.
User Stories:
- US-02: Segregação de ambientes com tagging - Isolamento e rastreabilidade
- US-04: Governança de módulos IaC - Evitar propagação de más práticas
Cap. 11-12 - Deploy e Operações
Apoiar desenho resiliente de ambientes de produção com padrões de disponibilidade e recuperação.
Referências aos Capítulos
Para contexto e enquadramento completo: