Desenvolvimento seguro e gestão de vulnerabilidades

Detalhamento das práticas de engenharia segura da Pix Force. Complementa o questionário de segurança da informação.

Ciclo de desenvolvimento seguro

O desenvolvimento segue um fluxo padronizado, com ambientes separados de desenvolvimento, homologação e produção. Nenhuma alteração chega à produção sem passar por revisão e validação.

• Controle de versão: todo código-fonte é versionado em repositórios privados, com histórico completo de alterações e autoria.
• Revisão obrigatória: alterações são revisadas por outra pessoa da engenharia antes da integração à branch principal.
• Pipeline automatizado: build, testes e verificações automáticas rodam a cada alteração; falhas bloqueiam a publicação.
• Segregação de ambientes: dados reais de clientes não são utilizados em desenvolvimento ou testes.
• Segredos fora do código: chaves, tokens e credenciais ficam em cofres de segredos da plataforma, nunca no repositório.

Controle de acesso ao código e à produção

• Acesso concedido pelo princípio do menor privilégio, por função.
• Autenticação com provedor corporativo e segundo fator habilitado.
• Acessos revisados periodicamente e revogados imediatamente no desligamento.
• Publicações em produção são registradas, com autoria e possibilidade de reversão.

Gestão de vulnerabilidades

• Dependências: bibliotecas de terceiros são monitoradas de forma automatizada; alertas de vulnerabilidade abrem tarefa de correção.
• Análise estática: verificações automáticas de código e de configuração no pipeline.
• Reportes externos: vulnerabilidades identificadas por clientes ou pesquisadores devem ser comunicadas via chamado, com tratamento prioritário e confidencial.

Prazos de correção por severidade

Vulnerabilidades críticas em exploração ativa são tratadas como incidente, com correção emergencial fora do ciclo normal de releases.

Testes de segurança

Testes de intrusão conduzidos por terceiros são executados mediante acordo com o cliente. O escopo, a janela de execução e o compartilhamento do relatório são definidos caso a caso — solicite pelo canal de suporte.

Resposta a incidentes

Incidentes de segurança são registrados, classificados por severidade e tratados por equipe designada, com comunicação aos clientes afetados. As diretrizes gerais estão na Política de Segurança da Informação.

Precisa de evidências formais ou de um item específico deste material para um processo de homologação de fornecedor? Abra um chamado — respondemos com a documentação aplicável.