Governança, risco e compliance em português · gratuito, cadastro opcional
Entrar

Security by Design — Perfil 2 — Intermediário

23 controles. Marque a situação de cada um; o painel à direita mostra sua nota em tempo real.

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

SBD.1 Princípios de design seguro

SBD.1.1 Menor privilégio: cada usuário, serviço e componente recebe só o acesso de que precisa.
SBD.1.2 Padrão seguro: a configuração de fábrica já é a segura; endurecer não pode ser opcional.
SBD.1.3 Falhar em estado seguro: quando algo dá errado, o sistema nega o acesso em vez de liberar.
SBD.1.4 Defesa em profundidade: mais de uma camada de controle, para que uma falha não derrube tudo.
SBD.1.5 Superfície de ataque mínima: só expor a funcionalidade, porta e permissão realmente necessárias.
SBD.1.6 Simplicidade: design simples e auditável; complexidade esconde falha.

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

SBD.2 Preparar a organização (SSDF PO)

SBD.2.1 Requisitos de segurança definidos antes de construir, junto com os requisitos funcionais.
SBD.2.2 Papéis e responsabilidades de segurança definidos para o time de desenvolvimento.
SBD.2.3 Time treinado em desenvolvimento seguro, com reciclagem periódica.
SBD.2.4 Padrões e bibliotecas seguras aprovadas, para o time não reinventar controle crítico.

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

SBD.3 Proteger o software (SSDF PS)

SBD.3.1 Código-fonte com acesso controlado e alterações rastreáveis.
SBD.3.2 Integridade das entregas: artefatos assinados ou com hash verificável.
SBD.3.3 Segredos fora do código: chaves e senhas em cofre, nunca no repositório.

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

SBD.4 Produzir software bem protegido (SSDF PW)

SBD.4.1 Modelagem de ameaças no design, antes de codificar (o que pode dar errado e quem atacaria).
SBD.4.2 Validação de entrada no servidor, tratando todo dado externo como não confiável.
SBD.4.3 Autenticação e controle de acesso verificados no servidor, a cada requisição.
SBD.4.4 Dados sensíveis protegidos em trânsito e em repouso, com criptografia forte.
SBD.4.5 Tratamento de erro que não vaza detalhe interno nem deixa o sistema em estado inconsistente.
SBD.4.6 Revisão de código com olhar de segurança antes do merge.
SBD.4.7 Dependências inventariadas e atualizadas, com origem confiável.

Matriz de risco opcional

A avaliação mede o quanto seus controles cobrem cada área. Para isso virar uma matriz de risco faltam duas informações que só você tem: o quanto um incidente neste ambiente é provável, e o quanto dói se acontecer. Informe as duas e o relatório traz a matriz e o mapa de calor — a eficácia de cada área sai das suas próprias respostas, não é estimada. Deixe em branco para pular.

SBD.5 Responder a vulnerabilidades (SSDF RV)

SBD.5.1 Correção de vulnerabilidade com prazo definido por severidade.
SBD.5.2 Testes de segurança automatizados no pipeline (SAST/DAST/dependências).
SBD.5.3 Canal para receber report de vulnerabilidade de fora da organização.
Trocar de perfil