Este documento, referente à Sprint 13 - Segurança em Banco de Dados do Guia de Desenvolvimento Seguro do Ministério da Saúde/DATASUS tem como objetivo principal garantir a proteção dos vários tipos de dados armazenados nos vários sistemas de banco de dados Ministério da Saúde/DATASUS. Inspirado nas práticas recomendadas pelo OWASP, este documento foca em técnicas acessíveis para prevenir problemas de segurança. Este documento também irá abordar as definições de políticas de auditorias, assim como o amplo monitoramento das instâncias, como que tipo de acessos e privilégios os usuários terão e todas as regras para melhor monitorar o ambiente.
Os Sistemas de Gerenciamentos de Bancos de DADOS no âmbito do Ministério da Saúde/DATASUS são alvos recorrentes nas questões de segurança da Informação, pois praticamente todas as informações referentes às regras de negócios na esfera governamental são persistidas nessas ferramentas.
Priorizar medidas que garantam que as consultas aos bancos de dados sejam seguras e que as informações inseridas e recuperadas sejam devidamente verificadas para evitar problemas como "injeção de SQL" (um método pelo qual invasores inserem código malicioso em formulários da web ou campos de entrada para acessar ou manipular dados no banco de dados) e "Cross-Site Scripting" (um tipo de ataque no qual scripts maliciosos são injetados em páginas da web visualizadas por outros usuários, comprometendo a segurança do sistema). Além disso, o documento irá adotar estratégias como restringir ao máximo os acessos aos dados apenas ao necessário, usar senhas seguras e proteger cuidadosamente as informações de conexão. Utilizaremos métodos simples para controlar o acesso aos dados e desativar qualquer funcionalidade ou conta que não seja necessária, reduzindo assim os pontos vulneráveis nos sistemas de banco de dados do Ministério da Saúde/DATASUS. Essas medidas são cruciais para manter a segurança, privacidade e disponibilidade dos dados confidenciais, contribuindo para a confiança e eficácia dos sistemas Ministério da Saúde/DATASUS.
|
LEVANTAMENTO DE REQUISITOS |
|
|
Quando deve acontecer No início do ciclo de vida do desenvolvimento de software, durante a fase de planejamento e definição de requisitos. |
Porque deve ser feito Para identificar e documentar os requisitos de segurança necessários para proteger os dados armazenados no banco de dados, garantindo conformidade com as regulamentações e prevenindo vulnerabilidades. |
|
Quem define os Atores e Ações da Etapa de Levantamento de Requisitos? Coordenação de Desenvolvimento e Coordenação de Banco de Dados – convocar e definir equipes e responsabilidades para cada fase da etapa em execução. Administradores de Banco de Dados (DBAs) em parceria com a Equipe de Infraestrutura (Operações – Provisionamento de estruturas) e Equipe de Segurança (Regras e políticas). |
Quem define os Atores responsáveis pela Validação do Levantamento de Requisitos? Coordenação de Banco de Dados Realiza a chamada de equipes para validação das partes da aplicação. Analistas de Segurança, DBAs, Equipe de Infraestrutura (Operações) e a Equipe de Qualidade (Compliance), visando assegurar se os modelos definidos pelos DBAs foram tratados corretamente. |
|
Quais os documentos necessários para a etapa de Levantamento de Requisitos?
|
|
|
O que precisamos definir na Etapa de LEVANTAMENTO DE REQUISITOS?
|
|
|
O que precisamos entregar para a próxima etapa (SECURITY BY DESIGN)? Relatório de Requisitos de Segurança para Banco de Dados para o projeto, contendo:
Responsáveis pela entrega: Coordenação de Desenvolvimento e Coordenação de Banco de Dados. |
|
|
Práticas recomendadas
|
|
|
Ferramentas recomendadas
|
|
|
Testes e Avaliações Iniciais
|
|
|
Referências
|
|
|
SECURITY BY DESIGN |
|
|
Quando deve acontecer Durante a fase de design e arquitetura do ciclo de vida do desenvolvimento de software, após o levantamento de requisitos |
Porque deve ser feito Para incorporar a segurança desde a concepção do sistema, garantindo que os controles de segurança sejam parte integrante do design da aplicação e do banco de dados, prevenindo vulnerabilidades e assegurando conformidade com regulamentações |
|
Quem define os Atores e Ações da Etapa de Design Coordenação de Desenvolvimento e Coordenação de Banco de Dados – convocar e definir equipes e responsabilidades para cada fase da etapa em execução. Administradores de Banco de Dados (DBAs) em parceria com a Equipe de Infraestrutura (Operações – Provisionamento de estruturas) e Equipe de Segurança (Regras e políticas). |
Quem define os Atores responsáveis pela Validação do Design Coordenação de Banco de Dados Realiza a chamada de equipes para validação das partes da aplicação. Analistas de Segurança, DBAs, Equipe de Infraestrutura (Operações) e a Equipe de Qualidade (Compliance), visando assegurar se os modelos definidos pelos DBAs foram tratados corretamente. |
|
Os documentos necessários para a etapa de SECURITY BY DESIGN e suas definições?
|
|
|
O que precisamos definir na etapa de SECURITY BY DESIGN?
|
|
|
O que precisamos entregar para a próxima etapa (EXECUÇÃO SEGURA)? Relatório ou Plano de Design de Sistema Atualizado, contendo:
Responsáveis pela entrega: Coordenação de Desenvolvimento e Coordenação de Banco de Dados. |
|
|
Práticas recomendadas
|
|
|
Ferramentas recomendadas
|
|
|
Testes e Avaliações Iniciais
|
|
|
Referências:
|
|
|
EXECUÇÃO SEGURA |
|
|
Quando acontece? Durante a fase de implementação do ciclo de vida do desenvolvimento de software, após a conclusão do design de segurança. |
Por que deve ser feito? Para garantir que as práticas e controles de segurança definidos durante o design sejam efetivamente aplicados. Isso minimiza as vulnerabilidades e assegura que o sistema esteja protegido contra ameaças, ao mesmo tempo em que se cumpre as exigências regulatórias e as políticas de segurança organizacionais. |
|
Quem define os Atores e Ações da Etapa de Design Coordenação de Desenvolvimento e Coordenação de Banco de Dados – convocar e definir equipes e responsabilidades para cada fase da etapa em execução. Administradores de Banco de Dados (DBAs) em parceria com a Equipe de Infraestrutura (Operações – Provisionamento de estruturas) e Equipe de Segurança (Regras e políticas). |
Quem define os Atores responsáveis pela Validação do Design Coordenação de Banco de Dados Realiza a chamada de equipes para validação das partes da aplicação. Analistas de Segurança, Equipe de Banco de Dados (DBAs), Equipe de Infraestrutura (Operações) e Equipe de Qualidade (Compliance), visando assegurar se os modelos definidos pelos DBAs foram tratados corretamente. |
|
Os documentos necessários para a etapa de EXECUÇÃO SEGURA e suas definições?
|
|
|
O que precisamos definir na etapa de EXECUÇÃO SEGURA?
|
|
|
O que precisamos entregar para a próxima etapa (TESTE DE SEGURANÇA)? Relatório de Execução Segura do Projeto, contendo:
E realizar a entrega do Banco de Dados Configurado e Seguro, com todas as medidas de segurança aplicadas e documentadas. Responsáveis pela entrega: Coordenação de Desenvolvimento e Coordenação de Banco de Dados. |
|
|
Práticas recomendadas
|
|
|
Ferramentas recomendadas
|
|
|
Testes e Avaliações Iniciais
|
|
|
Referências:
|
|
|
TESTE DE SEGURANÇA |
|
|
Quando acontece Após a fase de Execução Segura e antes da implantação em produção, e regularmente durante o ciclo de vida da aplicação. |
Porque deve ser feito Para identificar e corrigir vulnerabilidades de segurança antes da implantação, garantindo a proteção dos dados e a conformidade com regulamentos. |
|
Quem define os Atores e Ações da Etapa de Teste de Segurança Coordenação de Desenvolvimento e Coordenação de Banco de Dados – convocar e definir equipes e responsabilidades para cada fase da etapa em execução. Administradores de Banco de Dados (DBAs) em parceria com a Equipe de Infraestrutura (Operações – Provisionamento de estruturas) e Equipe de Segurança (Regras e políticas). |
Quem define os Atores responsáveis pela Validação dos Testes de Segurança Coordenação de Banco de Dados Realiza a chamada de equipes para validação das partes da aplicação. Analistas de Segurança, Equipe de Banco de Dados (DBAs), Equipe de Infraestrutura (Operações) e Equipe de Qualidade (Compliance), visando assegurar se os modelos definidos pelos DBAs foram tratados corretamente. |
|
Os documentos necessários para a etapa de TESTE DE SEGURANÇA e suas definições?
|
|
|
O que precisamos definir na etapa de TESTE DE SEGURANÇA?
|
|
|
O que precisamos entregar para a próxima etapa (GERENCIAMENTO)? Relatório dos Testes de Segurança, contendo:
Responsáveis pela entrega: Coordenação de Desenvolvimento e Coordenação de Banco de Dados. |
|
|
Práticas recomendadas
|
|
|
Ferramentas recomendadas
|
|
|
Testes e Avaliações Iniciais
|
|
|
Referências:
|
|
|
GERENCIAMENTO |
|
|
Quando acontece Durante e após a fase de execução e testes do projeto, e continuamente durante todo o ciclo de vida da aplicação. |
Porque deve ser feito Para garantir a detecção precoce de incidentes de segurança, monitorar a integridade do sistema e garantir a conformidade contínua com as regulamentações. |
|
Quem define os Atores e Ações da Etapa de Design Coordenação de Desenvolvimento e Coordenação de Banco de Dados – convocar e definir equipes e responsabilidades para cada fase da etapa em execução. Administradores de Banco de Dados (DBAs) em parceria com a Equipe de Infraestrutura (Operações – Provisionamento de estruturas) e Equipe de Segurança (Regras e políticas). |
Quem define os Atores responsáveis pela Validação do Design Coordenação de Banco de Dados Realiza a chamada de equipes para validação das partes da aplicação. Analistas de Segurança, Equipe de Banco de Dados (DBAs), Equipe de Infraestrutura (Operações) e Equipe de Qualidade (Compliance), visando assegurar se os modelos definidos pelos DBAs foram tratados corretamente. |
|
Os documentos necessários para a etapa de GERENCIAMENTO e suas definições?
|
|
|
O que precisamos definir na etapa de GERENCIAMENTO?
|
|
|
O que precisamos entregar para a próxima etapa (MONITORAMENTO)? Relatório ou Planos de Gerenciamento de Segurança, contendo:
Responsáveis pela entrega: Coordenação de Desenvolvimento e Coordenação de Banco de Dados. |
|
|
Práticas recomendadas
|
|
|
Ferramentas recomendadas
|
|
|
Testes e Avaliações Iniciais
|
|
|
Referências:
|
|
|
MONITORAMENTO |
|
|
Quando acontece Durante e após a fase de execução e aplicação dos recursos determinados nos detalhamentos, e continuamente durante todo o ciclo de vida da aplicação. |
Porque deve ser feito Para garantir a detecção precoce de incidentes de segurança, monitorar a integridade do sistema e garantir a conformidade contínua com as regulamentações. |
|
Quem define os Atores e Ações da Etapa de Monitoramento Coordenação de Desenvolvimento – convocar e definir equipes e responsabilidades para cada fase da etapa em execução. Por exemplo: Analistas de Segurança (atua depois do Deploy), Equipe de Segurança da Informação e Infraestrutura, com orientação de Arquitetos de Segurança e Equipe de Desenvolvimento (que atuou antes do Deploy) |
Quem define os Atores responsáveis pela Validação da Etapa de Monitoramento Coordenação de Segurança da Informação – Define e realiza a chamada de equipes para validação das partes da aplicação. Por exemplo: Analista de Qualidade de Segurança e Analistas de Segurança, em colaboração com Gestores de Projeto |
|
Os documentos necessários para a etapa de MONITORAMENTO e suas definições?
|
|
|
O que precisamos definir na etapa de MONITORAMENTO?
|
|
|
O que precisamos entregar nesta etapa? Relatórios de monitoramento de segurança atualizado, contendo:
Responsáveis pela entrega: Coordenação de Desenvolvimento, Coordenação de Banco de Dados e Coordenação de Segurança da Informação (relacionando os resultados de testes e monitoramento de vulnerabilidades ou testes direcionados, repassando os resultados e possíveis recomendações de correção para as equipes de Desenvolvimento, Infraestrutura e Banco de dados, baseados em planos desenvolvidos pela área de segurança – SOC e Segurança da Informação) |
|
|
Práticas recomendadas
|
|
|
Ferramentas recomendadas
|
|
|
Testes e Avaliações Iniciais
|
|
|
Referências:
|
|
|
PROTEÇÃO DE DADOS PESSOAIS |
|
|
Quando acontece Durante a fase de planejamento, design e execução da aplicação, e durante todo o ciclo de vida da aplicação. |
Porque deve ser feito Para garantir a proteção de dados pessoais desde o planejamento do sistema, assegurando conformidade com regulamentações como LGPD e GDPR e prevenindo vazamentos de dados. |
|
Quem define os Atores e Ações da Etapa de Proteção de Dados Coordenação de Desenvolvimento e Coordenação de Banco de Dados – convocar e definir equipes e responsabilidades para cada fase da etapa em execução. Equipe de Segurança da Informação, com participação de Desenvolvedores, Infraestrutura, Gestores de Projetos e o Data Protection Officer (DPO). |
Quem define os Atores responsáveis pela Validação da Proteção de Dados Coordenação de Segurança da Informação – Define e realiza a chamada de equipes para validação das partes da aplicação. Por exemplo: Analistas de Segurança, Equipe de Banco de Dados (DBAs), Equipe de Infraestrutura (Operações), Gestores de Projetos e o Data Protection Officer (DPO). |
|
Os documentos necessários para a etapa de PROTEÇÃO DE DADOS PESSOAIS e suas definições?
|
|
|
O que precisamos definir na etapa de PROTEÇÃO DE DADOS PESSOAIS?
|
|
|
O que precisamos entregar para o projeto?
Responsáveis pela entrega: Coordenação de Desenvolvimento, Coordenação de Banco de Dados, Arquitetos de Software e DPO. |
|
|
Práticas recomendadas
|
|
|
Ferramentas recomendadas
|
|
|
Testes e Avaliações Iniciais
|
|
|
Referências:
|
|
Considerando as práticas recomendadas pelo OWASP assim como práticas de Hardening para endurecimento da segurança de configurações de sistemas e a abordagem do Ministério da Saúde/DATASUS em seu Software Development Life Cycle (SDLC) com foco em DevSecOps, é essencial reforçar a cooperação entre equipes para que estas abordagens fortaleçam a segurança das configurações dos sistemas no âmbito do Ministério da Saúde/DATASUS. As diretrizes do OWASP, abordando desde a garantia de versões atualizadas até a aplicação de controles rigorosos sobre a configuração do sistema, oferecem um alicerce sólido para cada fase do SDLC. No levantamento de requisitos, a inclusão proativa de requisitos de segurança é crucial, alinhando-se ao princípio do "Security by Design". Durante a execução segura, a utilização das práticas de hardening, remoção de funcionalidades desnecessárias e a prevenção de divulgação de informações sensíveis contribuem significativamente para a integridade do sistema. Os testes de segurança, incluídos como uma fase específica, destacam a importância de identificar e corrigir vulnerabilidades antes da produção. O gerenciamento eficaz, com a gestão de ativos, controle de mudanças e isolamento de ambientes, além de documentação dinâmica, assegura a continuidade das práticas seguras. Por fim, o monitoramento de segurança proporciona uma camada adicional de proteção, registrando e respondendo dinamicamente às alterações no sistema. Ao integrar as melhores práticas do OWASP ao ciclo de vida de desenvolvimento definido pelo Ministério da Saúde/DATASUS, é possível criar uma abordagem robusta e holística, contribuindo para sistemas mais seguros e resilientes no contexto da saúde pública.