Alinhado a ISO 27001 e SOC 2
Controles internos calibrados contra os critérios ISO 27001/27002 e SOC 2 Type II, em infraestrutura AWS certificada.
Segurança e conformidade
Conformidade e confiança
Controles institucionais.
Divulgações abrangentes de conformidade, Política de Segurança da Informação (PSSI), controles ISO 27001/27002, alinhamento a GDPR/LGPD e arquitetura de infraestrutura nos produtos e nas operações de engenharia da UNFLD.
AES-256
Em repouso, em todas as camadas
FileVault · RDS · S3
TLS 1.3
Em trânsito, obrigatório
HTTP redirecionado para HTTPS
< 4h
Objetivo de tempo de recuperação
RPO inferior a uma hora
11×9
Durabilidade de backup
Multi-AZ, bloqueio WORM
O que nos impomos
Seis compromissos que o restante desta página precisa comprovar.
Residência de dados por contrato
Cargas europeias em Frankfurt e na Irlanda, cargas da América Latina em São Paulo. Alinhamento a GDPR e LGPD de ponta a ponta.
Criptografado de ponta a ponta
AES-256 em repouso em bancos de dados, armazenamento de objetos e snapshots. TLS 1.3/1.2 em toda conexão em trânsito.
SSO empresarial e MFA
Federação SAML 2.0, OAuth 2.0 e OpenID Connect, com autenticação multifator obrigatória para acesso privilegiado.
Backups imutáveis
Snapshots S3 Object Lock que não podem ser excluídos nem alterados, validados por exercícios trimestrais de restauração.
Verificação contínua
Análise de dependências e análise estática em cada pull request, varreduras mensais do sistema e testes de penetração externos periódicos.
O repositório
Seis capítulos.
98 divulgações.
Tudo o que uma avaliação de risco de fornecedor pergunta, agrupado do modo como um revisor lê — da política no topo ao pipeline que publica o código. Pesquise abaixo para ir direto a uma resposta.
Pesquisar todas as divulgações
Filtrar 98 respostas em 19 domínios de controle.
Capítulo 01 / 06
Governança e política
A Política de Segurança da Informação da qual tudo o mais depende — como é validada, revisada, auditada e confrontada com ISO 27001, SOC 2, GDPR e LGPD.
- Geral e PSSI08
- Conscientização e treinamento01
- Conformidade06
Geral e PSSI
08Conscientização e treinamento
01Conformidade
06O livro-razão
Contra o que somos medidos.
A UNFLD opera enxuta. Em vez de reivindicar acreditações que não temos, declaramos com precisão onde um certificado existe e onde calibramos a nossa própria prática aos critérios.
- ISO 27001Prática UNFLD · certificado AWSControles do sistema de gestão de segurança da informação e cadência de revisão.
- ISO 27002Prática UNFLDOrientação de implementação de controles aplicada em toda a PSSI.
- SOC 2 Type IIPrática UNFLD · certificado AWSCritérios de segurança, disponibilidade e confidencialidade.
- GDPRContratualBase legal, DPAs com Cláusulas Contratuais Padrão, direitos do titular.
- LGPDContratualProteção de dados pessoais no Brasil nos produtos que operamos.
- NIS2AlinhadoGestão de riscos, notificação de incidentes e prática de cadeia de suprimentos.
- PCI DSS Level 1Certificado AWSAcreditação de plataforma herdada da camada de hospedagem.
Capítulo 02 / 06
Identidade e acesso
Quem pode alcançar o quê, comprovado em cada fronteira. Menor privilégio, ciclo de vida de identidade documentado, autenticação multifator obrigatória e federação empresarial.
- Gestão de autorização de acesso10
- Autenticação03
Federado por padrão
O seu diretório permanece a fonte da verdade.
Tenants empresariais federam por SAML 2.0, OAuth 2.0 ou OpenID Connect contra Microsoft Entra ID, Okta ou Google Workspace. Quando alguém deixa a sua organização, deixa a nossa no mesmo instante — sem uma lista paralela de contas para reconciliar.
- SAML 2.0
- Asserção
- OAuth 2.0
- Delegação
- OIDC
- Identidade
Capítulo 03 / 06
Infraestrutura e perímetro
Onde a computação fica fisicamente, como a rede é cortada em segmentos e o que fica entre a internet pública e um banco de dados.
- Segurança física03
- Segurança das comunicações09
- Hospedagem06
- Hipervisor e SO01
Segurança física
03Segurança das comunicações
09Hospedagem
06Hipervisor e SO
01Residência de dados
Onde os dados ficam fisicamente, por contrato.
Primária na UE
eu-central-1
Frankfurt · Alemanha
Cargas residentes no GDPR e instâncias RDS criptografadas.
Secundária na UE
eu-west-1
Dublin · Irlanda
Destino de replicação entre regiões para clientes europeus.
Primária na América Latina
sa-east-1
São Paulo · Brasil
Residência local para dados brasileiros e regidos pela LGPD.
Entrega na borda e mitigação de DDoS por pontos de presença Cloudflare no mundo. A computação de origem nunca deixa a região contratada.
Capítulo 04 / 06
Operações e resposta
O dia a dia: estações endurecidas, controle de mudanças, agregação de logs e o que acontece nas horas depois que algo dá errado.
- Monitoramento e rastreabilidade06
- Segurança relacionada a operações10
- Gestão de incidentes05
Quando algo dá errado
Um incidente não é o momento de inventar um processo. Triagem, contenção, causa raiz e notificação estão escritas antes de precisarmos delas.
A notificação de violação segue GDPR, LGPD e os termos contratuais de SLA — investigada e comunicada às partes afetadas e aos reguladores sem demora indevida. Tudo o que uma investigação precisa já está sendo retido.
12 mo
Retenção de logs
24–72h
Janela de correção crítica
90 days
Retenção de snapshots
Capítulo 05 / 06
Dados, backup e continuidade
Classificação, criptografia, snapshots imutáveis e os objetivos de recuperação que nos impomos quando uma região sai do ar.
- Segurança de dados07
- Gestão de backups07
- Continuidade de negócios03
Segurança de dados
07Gestão de backups
07Continuidade de negócios
03Imposto, não aspiracional
A postura, como configuração.
Criptografia, tratamento de credenciais e retenção não são um documento de política que alguém se lembra de aplicar. São os padrões com que todo ambiente UNFLD é provisionado, e o desvio deles falha no pipeline.
posture.yml
# posture.yml — enforced across every UNFLD environmenttransport: minimum: "TLS 1.2" preferred: "TLS 1.3" plaintext_http: "redirect" # never served at_rest: workstations: "FileVault AES-XTS" databases: "AWS RDS AES-256" objects: "S3 SSE-KMS AES-256" backups: "AES-256 + S3 Object Lock" credentials: hashing: "Argon2id, bcrypt fallback" admin_mfa: "required" # TOTP or hardware key federation: ["SAML 2.0", "OAuth 2.0", "OIDC"] retention: operational_logs: "12 months" database_snapshots: "90 days" archives: "monthly + yearly point-in-time"Capítulo 06 / 06
Engenharia e cadeia de suprimentos
Como o software é construído e revisado antes de ir ao ar, como os tenants permanecem separados e o que exigimos de cada fornecedor que entra.
- Sistemas de informação de projeto04
- Software02
- Serviços e camadas05
- Segurança da subcontratação02
Antes de qualquer coisa ir ao ar
Quatro portões entre um commit e a produção.
01
Revisão por pares
Toda pull request precisa de um revisor humano. Sem exceções, sem autoaprovação em branches de produção.
02
Portões automatizados
Análise estática, varredura de dependências e detecção de segredos rodam em cada commit antes que um merge seja possível.
03
Implantação em estágios
Mudanças de infraestrutura e de aplicação chegam primeiro ao staging, sob os mesmos controles de criptografia e acesso.
04
Avaliação externa
Testes de penetração e avaliações de vulnerabilidade com especialistas externos, corrigidos por gravidade.
Revisões de segurança e auditorias empresariais
Precisa de uma avaliação de risco de fornecedor ou de um anexo de segurança sob medida?
Nossa equipe jurídica e de engenharia de segurança em São Paulo fornece questionários de fornecedor sob medida, mapeamentos de alinhamento a SOC 2, Aditivos de Processamento de Dados e revisões de arquitetura para parceiros empresariais.
security@unfld.com.br · sales@unfld.com.br