Política de Desenvolvimento Seguro e Segregação de Ambientes
1. Escopo
Aplica-se a todos os colaboradores, prestadores e sistemas sob responsabilidade da Atmo Digital, incluindo pipelines de CI/CD, aplicações, APIs e bancos de dados hospedados em provedores de nuvem (ex.: DigitalOcean, Contabo) e/ou infraestrutura de clientes quando aplicável.
2. Referências
- Política de Segurança da Informação (PSI)
- Política de Governança de Dados
- Plano de Recuperação de Desastres (PRD)
- Boas práticas: ISO/IEC 27001/27002, OWASP ASVS & SAMM
3. Princípios
- Segregação de ambientes: Dev, Homolog (Teste) e Prod são separados logicamente e, sempre que possível, fisicamente/rede.
- Menor privilégio: Acesso concedido conforme necessidade de função (RBAC) e com credenciais independentes por ambiente.
- Confidencialidade de dados: Dados reais não são utilizados fora de Produção; ambientes não-produtivos utilizam dados mascarados/anonimizados.
- Automação e rastreabilidade: Builds, testes e deploys por pipelines (GitHub Actions) com logs/auditoria.
- Qualidade e segurança por desenho: Revisões de código, code scanning, testes automatizados e avaliações de risco fazem parte do ciclo SDLC.
4. Ambientes e Isolamento
| Ambiente | Finalidade | Controles de Acesso | Dados |
|---|---|---|---|
| Desenvolvimento (DEV) | Construção de funcionalidades e testes de unidade. | Somente desenvolvedores autorizados; credenciais e segredos distintos de Prod. | Dados sintéticos ou anonimizados; nunca dados reais de clientes. |
| Homologação/QA (HML) | Validação funcional, testes integrados e UAT. | Time de QA e stakeholders autorizados; sem acesso administrativo de usuários finais. | Dados mascarados/anonimizados para cenários próximos do real. |
| Produção (PROD) | Ambiente de operação do cliente/usuário final. | Acesso restrito a SRE/DevOps/administradores; aprovações em dois passos. | Dados reais com controles de confidencialidade e backup conforme PRD. |
Rede & SO: Ambientes segregados por redes virtuais, grupos de segurança e firewalls; bloqueio de rota direta entre Dev/QA e Prod; hardening de SO por baseline e patching periódico.
5. CI/CD Seguro
- Controle de versão: Repositórios privados; fluxo PR feature → dev → homol → master com revisões por pares.
- Pipelines: GitHub Actions com build, testes (unitários/integração), auditoria de dependências e lint.
- Segredos: Mantidos em cofres seguros do provedor (GitHub Secrets) e variáveis por ambiente; secret scanning.
- Deploy: Automatizado; rollbacks e feature flags quando aplicável.
6. Gestão de Mudanças
- Toda mudança relevante é registrada (ticket/PR) com descrição, risco e plano de rollback.
- Mudanças em Prod exigem aprovação de responsável técnico e janela de implantação.
- Aplicação de patches de segurança priorizada conforme criticidade do fornecedor (ex.: CVSS).
7. Segurança de Dependências e Código
- Análise estática (SAST) e dependency scanning nos pipelines.
- Política de versões fixadas (lockfiles) e revisões de bibliotecas críticas.
- Proibição de credenciais no código; pre-commit hooks quando aplicável.
8. Proteção de Infraestrutura
- Endurecimento de SO (Linux/Windows) e serviços; portas mínimas; MFA para contas privilegiadas.
- Backups e testes de restauração conforme PRD.
- Monitoramento e alertas de disponibilidade/segurança; logs centralizados.
9. Dados em Não‑Produção
- É vedada a cópia de dados de Prod para Dev/QA sem anonimização/mascaração aprovada.
- Dump ou amostras para testes devem remover PII/segredos e seguir retenção mínima.
10. Acesso e Identidade
- RBAC por ambiente; contas separadas por função; revisões periódicas de acesso.
- Senhas/segredos geridos com rotação; MFA quando suportado.
11. Evidências e Auditoria
- Registros de build, testes, deploys e aprovações mantidos nos pipelines.
- Inventário de ambientes e configurações atualizado.
12. Conformidade
Esta política apoia requisitos de controles de desenvolvimento seguro previstos em ISO/IEC 27001/27002 e boas práticas OWASP (ASVS/SAMM). Em caso de conflito, prevalecem exigências contratuais do cliente.
RESUMO
A Atmo Digital mantém ambientes separados (Desenvolvimento, Homologação e Produção) com controles de acesso, redes e credenciais independentes. Produção não é acessível a partir de redes de desenvolvimento; deploys ocorrem exclusivamente via pipelines automatizados (GitHub Actions) e os dados de Dev/QA são anonimizados. Detalhes nesta política e na PSI/PRD.
Documentação comprobatória sugerida
- Diagramas dos ambientes e fluxos de CI/CD;
- Registros de deploy e aprovações em pipelines;
- Políticas publicadas (PSI, Governança de Dados, PRD) — links acima.
Proprietário do documento: CTO — Atmo Digital
Periodicidade de revisão: anual ou mediante mudanças significativas de arquitetura.