Registos brutos intocáveis
As picagens recebidas ficam guardadas tal como chegaram. Gatilhos na base de dados impedem alterá-las e apagá-las, mesmo por SQL directo. Corrigir é acrescentar um novo registo com motivo, nunca reescrever o original.
Segurança e privacidade
Controlos que existem no sistema, não promessas
Cada ponto desta página descreve algo que o MARCAR faz hoje. O que ainda não foi validado ou decidido está dito no fim.
Integridade dos dados
Auditoria imutável
Todas as acções que alteram dados exigem um motivo e ficam registadas. A tabela de auditoria só aceita acrescentos, tal como as correcções, os fechos e as versões das regras.
Mês fechado é mês fechado
Depois do fecho de um serviço, a base de dados recusa alterar escalas, correcções, justificações, horas extra e resultados diários desse mês. Eventos tardios ficam sinalizados à parte.
Aplicação sem poder sobre o esquema
A aplicação liga-se à base de dados com um papel sem privilégios de esquema e sem actualizar nem apagar nas tabelas só de acrescentos. Não consegue desligar os gatilhos de imutabilidade.
Acesso
Perfis com âmbito
Administração, RH, chefia (só dos seus serviços), direcção (só leitura) e suporte. O suporte só entra quando a administração liga o acesso, cada consulta fica registada, e não recebe os dados pessoais dos funcionários, apenas o estado dos conectores e as pendências agregadas.
Sessões curtas
A sessão dura 8 horas e expira após 30 minutos de inactividade. A administração pode revogar sessões. Alterar a própria palavra-passe termina as outras sessões.
Palavras-passe e bloqueio de conta
As palavras-passe têm entre 16 e 72 caracteres e são guardadas apenas como hash. Cinco falhas bloqueiam a conta durante 15 minutos, e o início de sessão tem limite de taxa por IP e por e-mail. As contas novas obrigam a mudar a palavra-passe.
Protecção CSRF por origem
As acções que alteram dados exigem uma sessão e um cabeçalho de origem igual ao endereço configurado do sistema. Em produção, o servidor recusa arrancar sem essa origem definida.
Infra-estrutura
- Rede local, sem dependências externas. O sistema opera na rede da organização sobre PostgreSQL.
- HTTPS incluído. O MARCAR inclui terminação HTTPS e um script de certificado. Quando o endereço configurado é https, o servidor envia HSTS.
- Política de conteúdo restritiva. A interface usa uma política de segurança de conteúdo com um valor aleatório por pedido.
- Segredos fora do código. As credenciais dos conectores vivem na configuração do servidor.
- Cópias de segurança. Um script de cópia com
pg_dumpe retenção, com instruções de reposição, e a pasta de cópias com permissões restritas. - Importações auditadas. Cada importação CSV regista a soma de verificação (SHA-256) do ficheiro, o número de linhas e o resultado.
Privacidade
- Sem biometria no MARCAR. Os leitores guardam os seus dados biométricos; o MARCAR só recebe o evento da picagem.
- Menos dados na picagem móvel. Não se guarda a coordenada exacta, só se esteve dentro ou fora do perímetro. A foto do quiosque fica desligada por omissão.
- Este site. Não usa cookies, análise de tráfego nem recursos de terceiros. Os pedidos de demonstração são tratados como descreve a política de privacidade.
O responsável pelo tratamento dos dados dentro do sistema é a entidade que o opera. A lei de protecção de dados aplicável e as obrigações dessa entidade têm de ser confirmadas pelo seu jurídico. Esta página não é um parecer jurídico.
O que ainda está por validar
Equipamentos reais. Os conectores passam nos testes com equipamento simulado. A confirmação em equipamento real é um passo da instalação, e a integração Suprema BioStar X está em validação.
Teste de intrusão. O sistema foi alvo de uma auditoria geral em cinco frentes e, depois, de um teste de intrusão interno, feito em ambiente isolado, à entrada de eventos, à picagem móvel e à API. Encontrou um defeito de gravidade média, já corrigido, e o relatório está disponível a pedido. Um teste independente, feito por uma entidade externa, continua por fazer e é condição antes de expor o sistema à Internet.
Riscos que se declaram. A localização de telemóvel pode ser falsificada e um PIN pode ser partilhado. Estão descritos na página da picagem móvel.