Segurança e Práticas de Engenharia

1. Segurança no ciclo de desenvolvimento

Segurança faz parte de como o trabalho é feito, não de uma revisão no fim:

• Modelagem de ameaças durante a arquitetura, para os trade-offs ficarem registrados antes de existir código.
• Revisão por pares em toda mudança, sem commit direto em branch protegida.
• Varredura de dependências e de segredos na integração contínua; o build falha quando o achado importa.
• Testes automatizados como porta de liberação, para o risco ficar com o pipeline e não com quem está de plantão.

2. Controle de acesso

• Somente contas nominais, sem credencial compartilhada entre engenheiros.
• Acesso restrito ao projeto, concedido pelo princípio do mínimo necessário e revogado quando o projeto ou o papel da pessoa nele termina.
• Autenticação multifator em tudo que suporta.
• Acesso a produção limitado a quem precisa, e registrado.

3. Tratamento de dados

• Criptografia em trânsito (TLS) e em repouso, com as chaves gerenciadas da plataforma, salvo exigência diferente do cliente.
• Segredos em cofre gerenciado, nunca em código-fonte ou arquivo de configuração.
• Dado de produção não é copiado para máquina de desenvolvedor. Quando é preciso dado realista para teste, ele é mascarado ou sintético.
• Trabalhamos dentro de ambientes controlados pelo cliente sempre que ele preferir esse arranjo.

4. Projetos com HIPAA

Quando um projeto envolve Protected Health Information, a ZIONN opera como Business Associate:

• Business Associate Agreement assinado antes de qualquer acesso a PHI.
• Salvaguardas administrativas, físicas e técnicas da HIPAA Security Rule.
• Acesso pelo mínimo necessário, por pessoa nomeada, com trilha de auditoria.
• PHI criptografada em trânsito e em repouso, mantida nos ambientes acordados com o cliente.
• Notificação de incidente sem demora injustificada, com apoio às obrigações do próprio cliente.
• Subcontratados vinculados por termos escritos equivalentes.

5. Operação e resiliência

• Infraestrutura como código, para os ambientes serem reproduzíveis e as mudanças revisáveis.
• Monitoramento e alertas configurados como parte da entrega, não acrescentados depois.
• Procedimentos de backup e restauração que são de fato testados, não apenas configurados.
• Mudanças liberadas de forma incremental, com caminho de rollback definido antes do deploy.

6. Pessoas

• Obrigação de confidencialidade para todos com acesso a cliente, inclusive subcontratados.
• Verificação de antecedentes quando o projeto ou a regulação exigem.
• Acesso revisado quando alguém entra ou sai de um projeto.

7. O que colocamos por escrito

Antes de um projeto começar, temos prazer em responder ao seu questionário de segurança, assinar seu BAA ou DPA, aceitar suas exigências de acesso e de residência de dados, e conversar com o seu time de segurança sobre qualquer ponto acima.

Se algo aqui não atende ao seu critério, diga. É uma conversa melhor de ter agora do que depois de contrato assinado.

8. Reportar um problema

Se você acredita ter encontrado uma vulnerabilidade em algo que operamos, escreva para security@zionn.io. Inclua detalhe suficiente para reproduzir. Vamos confirmar o recebimento, investigar e manter você informado, e não tomaremos medidas contra pesquisa feita de boa-fé.