Segurança e proteção de dados

• MFA obrigatória

  Palavra-passe e código da aplicação de autenticação – ou uma passkey, que abrange ambos os fatores – para todos, incluindo os nossos administradores.

• Passkeys

  Início de sessão com impressão digital, Face ID, Windows Hello ou uma chave de segurança. Uma passkey abrange ambos os fatores; a palavra-passe e a aplicação de autenticação mantêm-se como alternativa.

• Início de sessão com conta da empresa (SSO)

  Início de sessão através do seu fornecedor de identidade (OpenID Connect com PKCE), p. ex. Microsoft Entra ID, Google Workspace, Okta ou Keycloak. Os seus administradores podem tornar o SSO obrigatório para a sua empresa.

• Palavras-passe com Argon2id

  Pelo menos 12 caracteres, guardadas apenas como hash Argon2id.

• Bloqueio progressivo de contas

  Bloqueio após tentativas falhadas repetidas, mais longo com novas tentativas: 15 minutos, 1 hora, 24 horas.

• Rate Limiting e bloqueio de IP

  As tentativas de início de sessão por endereço IP são limitadas; perante padrões de ataque, o endereço é bloqueado e a operação é alertada.

• Aviso de novo dispositivo

  Quando alguém inicia sessão a partir de um novo dispositivo, a pessoa recebe um e-mail.

• Tempo limite da sessão

  Terminar sessão após 30 minutos de inatividade, após 10 horas, no máximo (predefinição; por empresa, de 10 a 60 minutos ou de 4 a 12 horas).

• Nova confirmação antes de ações sensíveis

  Para ações particularmente sensíveis, o Complass exige uma nova confirmação com um código da aplicação ou uma passkey («step-up»), mesmo dentro de uma sessão em curso.

• Funções e permissões granulares

  Sem acesso, leitura ou escrita por pessoa e área, além de direitos especiais, opcionalmente limitados no tempo.

• Perfis de função

  Perfis de funções pré-definidos, como «Auditor externo», podem ser adotados e adaptados à sua empresa pelos seus administradores.

• Princípio dos quatro olhos

  Para aceitações de risco e aprovações de documentos, os seus administradores podem configurar o princípio dos quatro olhos. As intervenções do Complass nos seus dados (p. ex. repor a palavra-passe e o MFA, alterar o endereço de e-mail, eliminar definitivamente um projeto) só ocorrem, no nosso caso, após aprovação de uma segunda pessoa.

• Separação de clientes

  Cada consulta está limitada à sua empresa; os outros objetos são «não encontrados».

• Acesso para fornecedores

  Os fornecedores só veem os questionários e evidências que lhes são atribuídos; a separação é testada automaticamente.

1. Para o caixote de reciclagem, restaurável durante 30 dias; apenas depois de escrever o nome do projeto.
2. Em todos os projetos ou apenas naqueles definidos como «edição».
3. Apenas com acesso a todos os projetos.

A edição exige uma licença válida; depois de a licença terminar, continuam a ser possíveis a consulta e a exportação. O último administrador de uma empresa não pode ser despromovido, para que a sua equipa nunca fique sem ninguém que a gira.

A tabela mostra as predefinições das funções. Em «Permissões», os seus administradores ajustam os direitos por pessoa de forma granular: por área (cada referencial, cada módulo, cada item de menu) sem acesso, leitura ou escrita, além de direitos especiais como exportar (também por área), eliminar, aprovar documentos, submeter fases de notificação, importar ativos, convidar pessoas e gerir permissões, opcionalmente limitados no tempo e através de perfis de função. Aplica-se sempre a regra mais restritiva; só de leitura nunca escreve. Os itens de menu sem permissão ficam ocultos e o servidor rejeita pedidos diretos. Também é possível convidar pessoas individuais para exatamente um objeto (p. ex. uma tarefa ou um documento) para comentar ou editar em conjunto, sem receberem outros direitos. Exporta a matriz de permissões filtrada como evidência (Excel, CSV, PDF).

• Ativos, incidentes, vulnerabilidades, tarefas

  Não acessíveis aos administradores do Complass na interface de utilizador.

• Projetos apenas com autorização do consultor

  Os nossos consultores só veem projetos, documentos e evidências quando o seu administrador autoriza o acesso de consultor. Cada sessão em que um consultor abre um projeto fica registada no seu registo de auditoria, com o tipo de acesso.

• Acesso de emergência apenas com a sua permissão

  Apenas se o tiver permitido previamente, com justificação e aprovação de uma segunda pessoa, no máximo 60 minutos, apenas em leitura, no registo e com e-mail imediato aos seus administradores.

• Anexos de apoio apenas quando aprovados

  Só vemos os anexos de um ticket de apoio depois de o seu administrador ter aprovado o ticket.

• Sessão de apoio apenas com autorização

  A pessoa em causa aprova a sessão, limitada a 30, 60 ou 120 minutos, por predefinição só de leitura e sem ficheiros nem exportação. O acesso de escrita exige, além disso, o consentimento do seu administrador.

• Visível e com possibilidade de terminar a qualquer momento

  Uma faixa mostra «sessão de apoio ativa» e pode terminá-la em qualquer momento. Cada visualização de página é registada e o Complass necessita ainda de MFA para a sessão.

• Funções separadas no Complass

  As funções estão separadas internamente, p. ex. engenharia, vendas e finanças: os colaboradores só veem o que necessitam para a sua tarefa.

• Data in Transit

  Apenas HTTPS, HSTS durante um ano, incluindo subdomínios.

• Ficheiros de evidência por cliente

  Cifrados com uma chave própria por cliente (XChaCha20-Poly1305), fora do diretório público.

• Secrets e códigos de MFA

  Secrets de MFA cifrados, ligações de convite e códigos de recuperação guardados apenas como HMAC.

• Diária

  Backup diário da base de dados e de todos os ficheiros de evidência.

• Cifrada com uma chave pública

  O backup da base de dados é cifrado com libsodium (XChaCha20-Poly1305) para uma chave pública.

• Chave privada fora do servidor

  Guardamos a chave privada de decifragem exclusivamente offline.

• Os ficheiros de evidência permanecem cifrados

  Os ficheiros de evidência são guardados no backup na sua forma cifrada (chave por cliente).

• As adulterações são detetadas

  Os backups alterados ou danificados são detetados na restauração e não são aplicados.

• Até 60 dias e restauração seletiva

  No servidor ficam os últimos 30 backups diários; fora do servidor existem ainda estados diários que não podem ser eliminados a partir do servidor e uma cópia mensal offline. Cada backup é eliminado ou substituído, no máximo, após 60 dias; os projetos individuais podem ser restaurados seletivamente como cópia.

• Cópia fora do servidor

  Uma cópia encriptada de cada backup é ainda guardada fora do servidor num centro de dados na Alemanha.

• Alojado na Alemanha

  Na Hetzner Online GmbH, em centros de dados na Alemanha, com contrato de subcontratação de dados pessoais.

• Monitoring

  Backups, tarefas cron, armazenamento, dados de vulnerabilidades, envio de e-mails, erros de servidor e tempos de resposta são verificados continuamente; o Complass é alertado automaticamente perante qualquer anomalia.

• Relatório operacional diário

  O Complass recebe diariamente um relatório sobre o estado da operação, sem conteúdos de clientes.

• Disponibilidade verificável a partir do exterior

  Um endereço de estado sem dados de clientes permite um monitoring da disponibilidade a partir do exterior; está a ser configurado um monitoring externo.

• Apenas o ponto de entrada é público

  A base de dados, as evidências, os backups e o código do programa estão bloqueados a partir da web.

• Política de segurança de conteúdos

  Apenas scripts, estilos e tipos de letra do nosso próprio servidor, sem scripts em linha, sem incorporação noutros sítios.

• Cabeçalhos de segurança e proteção CSRF

  Cabeçalhos de segurança em cada resposta, token CSRF para cada alteração.

• Verificações de carregamentos

  Os ficheiros carregados são verificados por extensão e conteúdo real; apenas tipos permitidos.

• Processamento seguro de XML

  Importações XML (p. ex. Nmap, scanners, Excel) sem carregar recursos externos e sem resolver entidades externas.

• Capturas de rede apenas no browser

  Os ficheiros PCAP são analisados no browser e não são carregados.

• Verificações de segurança automáticas

  A cada alteração ao código: análise estática de código, pesquisa de Secrets guardados por engano, verificação de todos os componentes de terceiros quanto a vulnerabilidades conhecidas, uma lista de materiais de software (SBOM) e uma verificação dinâmica da aplicação em execução.

• OWASP ASVS 5.0

  OWASP ASVS 5.0: nível 1 98 % · nível 2 93 % · nível 3 85 % (autoavaliação, situação em 21.10.2026). Uma exceção justificada, indicada abertamente.

• Histórico de alterações por objeto

  Quem, quando, valor antigo e novo, p. ex. em entradas de catálogo, tarefas e fases.

• Versões com aprovação

  As versões anteriores de documentos com aprovação (nome, data) e as versões de ficheiros de evidência permanecem disponíveis.

• Histórico de comentários

  Os comentários editados mantêm as suas versões anteriores; os comentários retirados e ocultados são preservados.

• Exportação de auditoria

  Um pacote cifrado para auditorias internas e externas: projetos, documentos, evidências, registos e registo de atividade, apenas dentro dos direitos de leitura de quem o solicita. Essa pessoa recebe a ligação de transferência por e-mail. Um manifesto com somas de controlo comprova que o pacote não foi alterado; verifica-o no portal.

• Registo de auditoria do cliente

  Inícios de sessão, exportações, alterações de permissões, eliminações e outras ações importantes, filtráveis e exportáveis para os seus administradores.

• Registo de auditoria com deteção de manipulação

  Cada entrada do seu registo de auditoria do cliente e dos eventos de segurança está ligada à anterior através de uma cadeia de hashes (HMAC-SHA-256); as alterações ou eliminações tornam-se visíveis na verificação. O estado da verificação (última verificação, valor de controlo) é visível no registo de auditoria do cliente e na exportação.

• Sem rastreadores publicitários

  Na área de cliente não há ferramentas de rastreio nem de análise, nem tipos de letra ou scripts externos; no site público, estatísticas de visitas sem cookies (Plausible, UE); apenas cookies tecnicamente necessários: a sessão e, se escolher um idioma, o seu idioma.

• Prazos de conservação

  Os endereços IP no registo são encurtados após 90 dias, as entradas do registo eliminadas após 24 meses e os pedidos de potenciais clientes após 12 meses.

• Exportação a qualquer momento, sem dependência de fornecedor

  Documentos, tabelas, relatórios e o pacote de conformidade com todos os ficheiros de evidência, exportáveis a qualquer momento.

• Mudança de fornecedor sem custos

  Mudança para outro fornecedor ou para o seu próprio sistema com prazos fixos e exportação dos dados da sua empresa em formatos abertos. A página «Mudança de fornecedor e exportação de dados» descreve o procedimento e os formatos.

• Acesso de leitura após o fim do contrato

  Após o fim do contrato, os seus conteúdos permanecem legíveis e exportáveis; apenas a edição fica bloqueada.

• Eliminação de dados a pedido

  No portal: primeiro a exportação, depois a confirmação com palavra-passe, MFA, nome da empresa e e-mail, prazo de espera de 7 dias, confirmação de eliminação em PDF.

• Espelho de fontes públicas

  NVD, CISA KEV, EPSS e ENISA EUVD são descarregados para o servidor.

• Nenhum dado de clientes enviado para o exterior

  As informações do seu inventário de ativos não são enviadas para serviços externos para efeitos de correspondência.

• Subcontratantes ulteriores

  Para os conteúdos que regista no portal, utilizamos a Hetzner Online GmbH (alojamento). Com o módulo adicional «Alerta por SMS e chamada», a sms77 io GmbH (seven.io) entra para o número de telefone e o texto do alerta.

• Apoio através do seu administrador

  Erros, pedidos e perguntas chegam-nos agrupados através do seu administrador. Vê o estado e as respostas no ticket, até «resolvido na versão …». Nunca vê os tickets de outros clientes, e vice-versa.

• Histórico de versões

  As alterações são listadas por versão em «Novidades».

• Comunicar uma vulnerabilidade

  Envie os avisos de vulnerabilidades de segurança para security@complass.de; contacto também em /.well-known/security.txt.

• Conteúdos com apoio de IA

  Os conteúdos são criados com o apoio de IA e verificados face aos textos originais pelos nossos especialistas.