1. Introdução ao Framework de Compliance

Seja bem-vinda(o) ao Framework de Compliance da Pragmatismo. Este documento representa nosso compromisso com a excelência operacional e conformidade regulatória no desenvolvimento e operação do General Bots e todos os nossos sistemas de tecnologia. Este framework foi desenvolvido para garantir que todas as operações da empresa estejam em conformidade com as normas ISO 27001, HIPAA e LGPD, assegurando a proteção de dados, a privacidade e a segurança da informação.

Caso identifique um padrão positivo em nossas atividades que possa ser generalizado ou tenha sugestões para aprimorar nosso framework de compliance, envie um e-mail para metodologia@Pragmatismo para avaliação. Opte sempre por descentralizar o conhecimento, editando estes artigos e compartilhando os métodos de trabalho mais seguros, eficazes e em conformidade com os padrões regulatórios.

• 1. Introdução
• 2. Comunicação
• 3. ALM
• 4. Automação
• 5. Ciência de Dados & IoT
• 6. Ferramentas
• 7. Artes, Design e Produção de Mídia
• 8. Políticas de Segurança da Informação
• 9. Gestão de Riscos
• 10. Gestão de Conformidade
• 11. Gestão de Incidentes
• 12. Continuidade de Negócios
• Direitos Autorais
• Glossário

1.1 Objetivo do Framework

Este framework tem como objetivo:

1. Estabelecer Conformidade: Garantir que todas as operações da Pragmatismo estejam em conformidade com ISO 27001, HIPAA e LGPD;
2. Proteger Dados: Implementar controles técnicos e administrativos para proteger dados sensíveis;
3. Gerenciar Riscos: Identificar, avaliar e mitigar riscos de segurança da informação;
4. Criar Cultura de Segurança: Promover uma cultura organizacional que valorize a segurança da informação;
5. Garantir Continuidade de Negócios: Implementar procedimentos para garantir a resiliência operacional.

1.2 Escopo de Aplicação

Este framework se aplica a:

1. Todos os colaboradores da Pragmatismo;
2. Sistemas e plataformas de desenvolvimento do General Bots;
3. Processos de desenvolvimento de software;
4. Infraestrutura de TI e operações;
5. Gestão de dados e informações dos clientes;
6. Relacionamento com fornecedores e parceiros.

1.4 Normas Gerais de Compliance

1. Todas as atividades da companhia devem ocorrer de acordo com a NR 17: http://www.trt02.gov.br/geral/tribunal2/LEGIS/CLT/NRs/NR_17.html;

2. Todas as operações devem estar em conformidade com a Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018), ISO 27001 e HIPAA (quando aplicável);

3. Os colaboradores devem participar de treinamentos regulares sobre segurança da informação e proteção de dados;

4. A empresa deve manter um Inventário de Ativos de Informação atualizado;

5. Revisões periódicas das políticas de segurança e conformidade devem ser realizadas pelo menos anualmente;

6. Cada participante do projeto deve contribuir durante a construção do projeto com um artigo em sua área para a companhia;

7. Salvo restrições contratuais informadas em cada caso, de modo simultâneo e coordenado, as novas tecnologias, comportamentos, padronizações, metodologias e outros novos artefatos para projetos em desenvolvimento resultam contribuições para projetos modelo da companhia;

8. Construir artefatos de código apenas com requisitos e macro-tarefas associadas;

9. Sempre verificar com a gerência do projeto e produto a viabilidade de introduzir ou refatorar código com BDD, TDD e/ou código-fonte literal;

10. Certifique-se de que termos, contratos e certificações estão em dia de acordo as instruções individuais de cada documento.

1.5 Matriz de Conformidade

A seguir, apresentamos nossa matriz de conformidade com os principais requisitos das normas ISO 27001, HIPAA e LGPD:

Requisito	Padrão	Status	Implementação
Segurança de Rede
TLS 1.3 Configuration	ISO 27001, HIPAA, LGPD	✅	Configure modern SSL parameters and ciphers in /etc/nginx/conf.d/ssl.conf
Access Logging	ISO 27001, HIPAA, LGPD	✅	Enable detailed access logs with privacy fields in /etc/nginx/nginx.conf
Rate Limiting	ISO 27001	⬜	Implement rate limiting rules in location blocks
WAF Rules	HIPAA	⬜	Install and configure ModSecurity with OWASP rules
Reverse Proxy Security	ISO 27001, HIPAA, LGPD	✅	Configure security headers (X-Frame-Options, HSTS, CSP)
Gestão de Identidade
MFA Implementation	ISO 27001, HIPAA, LGPD	✅	Enable and enforce MFA for all administrative accounts
RBAC Configuration	ISO 27001, HIPAA, LGPD	✅	Set up role-based access control with least privilege
Password Policy	ISO 27001, HIPAA, LGPD	✅	Configure strong password requirements (length, complexity, history)
OAuth2/OIDC Setup	ISO 27001	✅	Configure secure OAuth flows and token policies
Audit Logging	ISO 27001, HIPAA, LGPD	✅	Enable comprehensive audit logging for user activities
Armazenamento e Dados
Encryption at Rest	ISO 27001, HIPAA, LGPD	✅	Configure encrypted storage with key management
Bucket Policies	ISO 27001, HIPAA, LGPD	✅	Implement strict bucket access policies
Object Versioning	HIPAA	✅	Enable versioning for data recovery capability
Access Logging	ISO 27001, HIPAA, LGPD	✅	Enable detailed access logging for object operations
Lifecycle Rules	LGPD	⬜	Configure data retention and deletion policies
Comunicação
DKIM/SPF/DMARC	ISO 27001, HIPAA, LGPD	✅	Configure email authentication mechanisms
Mail Encryption	ISO 27001, HIPAA, LGPD	✅	Enable TLS for mail transport
Content Filtering	ISO 27001, HIPAA, LGPD	✅	Implement content scanning and filtering rules
Mail Archiving	HIPAA	⬜	Configure compliant email archiving
Sieve Filtering	ISO 27001, HIPAA, LGPD	✅	Implement security-focused mail filtering rules
Sistemas Operacionais
System Hardening	ISO 27001, HIPAA, LGPD	⬜	Apply CIS Ubuntu Linux benchmarks
System Updates	ISO 27001, HIPAA, LGPD	✅	Configure unattended-upgrades for security patches
Audit Daemon	ISO 27001, HIPAA, LGPD	⬜	Configure auditd for system event logging
Firewall Rules	ISO 27001, HIPAA, LGPD	✅	Configure UFW with restrictive rules
Disk Encryption	ISO 27001, HIPAA, LGPD	⬜	Implement LUKS encryption for system disks
SELinux/AppArmor	ISO 27001, HIPAA, LGPD	⬜	Enable and configure mandatory access control
Monitoramento e Logs
Monitoring Setup	ISO 27001, HIPAA, LGPD	✅	Install and configure Prometheus + Grafana
Log Aggregation	ISO 27001, HIPAA, LGPD	✅	Implement centralized logging (e.g., ELK Stack)
Backup e Recuperação
Backup System	ISO 27001, HIPAA, LGPD	⬜	Configure automated backup system with encryption
Network Isolation	ISO 27001, HIPAA, LGPD	✅	Implement proper network segmentation
Gestão de Dados
Data Classification	HIPAA/LGPD	✅	Document data types and handling procedures
Session Management	ISO 27001, HIPAA, LGPD	✅	Configure secure session timeouts and invalidation
Gestão de Certificados
Certificate Management	ISO 27001, HIPAA, LGPD	✅	Implement automated certificate renewal with Let's Encrypt
Segurança Ofensiva
Vulnerability Scanning	ISO 27001	✅	Regular automated scanning with tools like OpenVAS
Resposta a Incidentes
Incident Response Plan	ISO 27001, HIPAA, LGPD	✅	Document and test incident response procedures
Disaster Recovery	HIPAA	✅	Implement and test disaster recovery procedures

1.6 Documentação Obrigatória

1.6.1 Políticas de Segurança

• Política de Segurança da Informação
• Política de Controle de Acesso
• Política de Senhas
• Política de Proteção de Dados
• Plano de Resposta a Incidentes

1.6.2 Procedimentos

• Procedimentos de Backup e Recuperação
• Procedimentos de Gestão de Mudanças
• Procedimentos de Revisão de Acessos
• Procedimentos de Incidentes de Segurança
• Procedimentos de Resposta a Violações de Dados

1.6.3 Documentação Técnica

• Diagramas de Arquitetura de Rede
• Documentação de Configuração de Sistemas
• Documentação de Controles de Segurança
• Documentação de Padrões de Criptografia
• Documentação de Logging e Monitoramento

1.6.4 Registros de Conformidade

• Relatórios de Avaliação de Riscos
• Logs de Auditoria
• Registros de Treinamento
• Relatórios de Incidentes
• Registros de Revisão de Acesso

1.7 Tarefas Regulares de Manutenção

• Atualizações semanais de segurança
• Revisões mensais de acesso
• Auditorias trimestrais de conformidade
• Testes anuais de penetração
• Testes semestrais de recuperação de desastres

1.8 Segurança de Acesso

1. Mantenha sua senha em um local seguro, preferencialmente memorizando-a.
2. Altere sua senha imediatamente ao recebê-la.
3. Utilize autenticação de múltiplos fatores (MFA) sempre que disponível.
4. Nunca compartilhe suas credenciais com outras pessoas.
5. Bloqueie seu computador ao se ausentar de sua estação de trabalho.
6. Revise regularmente suas permissões de acesso e solicite apenas os privilégios necessários.

1.9 Referências

1. ISO 27001 - Sistema de Gestão da Segurança da Informação
2. HIPAA (Health Insurance Portability and Accountability Act)
3. LGPD (Lei Geral de Proteção de Dados - Lei nº 13.709/2018)
4. CIS Benchmarks (Center for Internet Security)
5. OWASP (Open Web Application Security Project)
6. NIST (National Institute of Standards and Technology)
7. http://msdn.microsoft.com
8. https://aws.amazon.com/documentation/
9. http://wikipedia.org
10. https://portal.fiocruz.br/
11. http://www.trt02.gov.br

---

Última atualização: 11 de maio de 2025