22 documentos marcados com "risco"

Identificação e mitigação estruturada de ameaças durante o ciclo de desenvolvimento

🎯 Objetivo

Ameaças mitigadas pelas práticas prescritas neste capítulo de arquitetura segura

Este capítulo não define controlos técnicos diretos, mas estabelece a estrutura de decisão que governa a aplicação proporcional e justificada de segurança em software. A ausência desta estrutura gera múltiplas ameaças - técnicas, organizacionais e processuais.

Requisitos mínimos obrigatórios por classificação de criticidade da aplicação

Práticas de segurança para pipelines de integração e entrega contínua, com foco em automação, rastreabilidade e controlo proporcional ao risco

Determinação da criticidade de aplicações para aplicar proporcionalidade nos controlos de segurança

Estratégias para priorizar testes com base no risco e assegurar cobertura eficaz dos requisitos.

Aplicação da classificação de criticidade ao longo do ciclo de vida de desenvolvimento

Práticas como canary releases, blue/green e staged rollout para mitigar risco em deploys críticos.

Estes exemplos demonstram como aplicar o modelo dos três eixos de risco em diferentes cenários deste capítulo.

Processo formal de exceção e aceitação de risco associado a requisitos

Porquê Determinação da criticidade de aplicações para aplicar proporcionalidade nos controlos de segurança

Mecanismos formais para registar, aprovar e controlar exceções às regras de segurança durante o desenvolvimento

A integração de modelos de ameaças estruturados na análise de risco é fundamental para garantir que os riscos considerados representam efetivamente a realidade técnica e operativa. Este ficheiro estabelece um modelo de referência para mapear ameaças conhecidas (como STRIDE ou MITRE ATT\&CK) aos riscos analisados no contexto de aplicações.

Aplicação proporcional dos controlos de monitorização e resposta conforme a classificação de risco da aplicação.

Esta tabela resume os controlos mínimos esperados por domínio técnico, de acordo com a classificação de risco da aplicação.

🎯 Objetivo

A adoção eficaz do Capítulo 01 - Gestão de Risco - exige a existência de políticas organizacionais formais que enquadrem, legitimem e sustentem a aplicação das práticas descritas neste capítulo.

Definição de políticas automáticas no pipeline com gates de segurança que variam segundo o nível de risco da aplicação.

Este anexo apresenta práticas não obrigatórias, mas altamente recomendadas para organizações que pretendam alcançar níveis mais elevados de maturidade e auditabilidade na gestão de risco aplicada ao ciclo de vida de software.

Caminho formativo adaptado ao nível de risco (L1–L3) e ao perfil técnico de cada colaborador.