33 documentos marcados com "auditoria"

Regras formais para permitir exceções no pipeline, com registo, aprovação, prazo de validade e visibilidade por função.

Responsabilidades dos Auditores no SbD-ToE

Catálogo canónico de requisitos de segurança aplicacional do SbD-ToE, organizado por domínio técnico, com aplicabilidade por nível de risco (L1–L3) e critérios de aceitação mínimos para validação, auditoria e integração em backlogs.

Catálogo canónico de requisitos de segurança estruturais e de design (ARC-001 a ARC-013), organizados por nível de risco, com critérios de aceitação para revisão de arquitectura, ADRs e auditorias técnicas.

Catálogo canónico de requisitos de segurança para pipelines de integração e entrega contínua (CIC-001 a CIC-010), com aplicabilidade por nível de risco e critérios de aceitação para design de pipelines, gestão de segredos, isolamento de runners, integridade de artefactos e gates de segurança.

Catálogo canónico de requisitos de classificação de criticidade aplicacional (CLA-001 a CLA-008), com aplicabilidade por nível de risco e critérios de aceitação para classificação formal, reclassificação, risco residual e proporcionalidade de controlos.

Catálogo canónico de requisitos de segurança para containers e imagens (CNT-001 a CNT-012), com aplicabilidade por nível de risco e critérios de aceitação para selecção de imagens base, hardening, assinatura, scanning, políticas de runtime e acesso a registries.

Catálogo canónico de requisitos de segurança para gestão de dependências de terceiros (DEP-001 a DEP-010), com aplicabilidade por nível de risco e critérios de aceitação para SBOM, SCA, governação de bibliotecas e políticas de actualização.

Catálogo canónico de requisitos de segurança para o processo de deploy (DPL-001 a DPL-009), com aplicabilidade por nível de risco e critérios de aceitação para aprovação formal, proveniência de artefactos, gates automáticos, rollback, credenciais de deploy, staging, monitorização pós-deploy e rastreabilidade end-to-end.

Catálogo canónico de requisitos de segurança para o processo de desenvolvimento (DEV-001 a DEV-009), com aplicabilidade por nível de risco e critérios de aceitação para guidelines de código, linters, revisão formal, gestão de excepções, proveniência e anotações rastreáveis.

Catálogo canónico de requisitos de formação e onboarding de segurança (TRN-001 a TRN-009), com aplicabilidade por nível de risco e critérios de aceitação para trilhos formativos, onboarding verificável, Security Champions e eficácia formativa.

Catálogo canónico de requisitos de governação organizacional de segurança (GOV-001 a GOV-012), com aplicabilidade por nível de risco e critérios de aceitação para ownership, excepções, contratação, rastreabilidade, validação contínua e maturidade.

Catálogo canónico de requisitos de segurança para projectos IaC (IAC-001 a IAC-013), organizados por nível de risco, com critérios de aceitação para governação de repositórios, pipelines, estado, módulos e drift de configuração.

Catálogo canónico de requisitos do programa de monitorização e operações de segurança (OPS-001 a OPS-010), com aplicabilidade por nível de risco e critérios de aceitação para logging centralizado, eventos críticos, retenção, SIEM, alertas, SLA de resposta, correlação, integração com IRP, detecção comportamental e métricas de eficácia.

Catálogo canónico de requisitos do programa de testes de segurança (TST-001 a TST-010), com aplicabilidade por nível de risco e critérios de aceitação para estratégia de testes, SAST, DAST, gestão de findings, regressão, pentesting e evidência auditável.

Catálogo canónico de requisitos de threat modeling (THR-001 a THR-007), com aplicabilidade por nível de risco e critérios de aceitação para identificação de ameaças, disposição formal, derivação de requisitos e rastreabilidade metodológica.

Lista de verificação objetiva da adoção das práticas de segurança em pipelines CI/CD

Checklist binário e auditável para avaliar a adoção prática das práticas prescritas no Capítulo 09 - Containers e Imagens

Checklist binário e auditável para avaliar a adoção prática das práticas prescritas no Capítulo 06 - Desenvolvimento Seguro

Lista de verificação binária e rastreável da adoção das práticas do Capítulo 13.

Instrumento de avaliação de adopção do modelo SbD-ToE - 96 pontos de verificação organizados por domínio e nível de risco, derivados das políticas organizacionais. Responde à pergunta "esta equipa/organização está a fazer SbD-ToE?" e serve como ferramenta de auto-avaliação, auditoria interna e requisito contratual.

Procedimento formalizado e executável para rescisão segura de contractors e fornecedores

Verificações obrigatórias por projeto para garantir a aplicação dos requisitos definidos

Regras formais para permitir exceções no pipeline, com registo, aprovação, prazo de validade e visibilidade por função.

Especificidades da gestão de excepções no contexto de pipelines CI/CD - bypass de gates, visibilidade e métricas

Como construir e manter uma matriz de rastreabilidade que liga riscos identificados, requisitos canónicos, tags operacionais de projeto, controlos técnicos e evidência auditável.

Política organizacional transversal que define os requisitos de rastreabilidade entre requisitos, controlos, evidências de validação, artefactos de build e eventos operacionais, assegurando que a postura de segurança é auditável de forma contínua e proporcional ao nível de risco da aplicação.

Política organizacional que define os requisitos para a rastreabilidade das práticas de segurança ao longo do ciclo de vida das aplicações, incluindo repositório de conformidade por aplicação, designação de owners de segurança, validações periódicas por capítulo SbD-ToE, evidências auditáveis e dashboard organizacional, proporcional ao nível de criticidade (L1, L2, L3).

Garantir que cada execução de pipeline e cada artefacto podem ser rastreados até ao commit, origem e responsável associado.

Modelo de registo e justificação formal de decisões e entregáveis de segurança

Práticas avançadas de governação aplicáveis a contextos de elevada maturidade ou requisitos regulatórios

Estratégias e ciclos para manter validações, KPIs e exceções auditáveis

Modelo completo de validação dos requisitos do catálogo SbD-ToE - princípios, métodos por tipo de requisito, momentos do ciclo de vida e plano detalhado por domínio com tag operacional, método recomendado e evidência esperada.