Segurança
A engenharia que protege o que importa.
Recuperar crédito significa cuidar de dados sensíveis. Aqui está, em linguagem direta, como construímos a SureCred.ai para não falhar nessa parte.
/ camadas
Seis camadas, uma intenção: dificultar tudo, sempre.
- 01
Perímetro
Quem entra, de onde, com o quê.
- WAF gerenciado
- DDoS L3–L7
- Allowlist por IP
- mTLS interno
- 02
Identidade
Acesso é privilégio — e expira.
- MFA obrigatório
- SSO SAML/OIDC
- RBAC por função
- Just-in-time access
- 03
Dados
Cifrados em repouso e em trânsito, sempre.
- AES-256 at rest
- TLS 1.3 in transit
- HSM + rotação
- Tokenização de PII
- 04
Aplicação
Código revisado, dependências auditadas.
- SAST + DAST no CI
- Code review obrigatório
- Bug bounty privado
- SBOM versionado
- 05
Observabilidade
Tudo que acontece deixa rastro.
- SIEM 24/7
- Logs imutáveis 12m
- Detecção comportamental
- Alerta em segundos
- 06
Continuidade
Quebrar é possível. Parar, não.
- Backup georredundante
- RPO < 5min
- RTO < 1h
- DR testado por trimestre
/ princípios
como decidimos- Menor privilégio
- Ninguém — pessoa ou serviço — acessa além do estritamente necessário.
- Defesa em profundidade
- Várias camadas independentes. Falhar em uma não compromete o resto.
- Segurança por padrão
- O default é o seguro. Exceções são raras, documentadas e expiráveis.
- Transparência operacional
- Logs, métricas e relatórios de auditoria disponíveis ao cliente sob NDA.
/ resposta
Quando algo acontece, o relógio começa em zero.
T+0
Detecção
SIEM correlaciona o evento e abre incidente automaticamente.
T+15m
Contenção
Isolamento do recurso afetado e revogação de credenciais.
T+1h
Análise
Time on-call avalia impacto, escopo e dados envolvidos.
T+24h
Comunicação
Notificação ao cliente, regulador e ANPD quando aplicável.
/ conformidade
Alinhados com o que o regulador pede — e com o que o cliente espera.
- LGPD
- DPO indicado · base legal mapeada · resposta a titulares em 15 dias úteis.
- Banco Central · Res. 4.893
- Política de SI, classificação de dados e plano de continuidade.
- OWASP Top 10
- Mitigações implementadas e revisadas em cada release.
- CIS Controls v8
- 18 controles críticos auditados internamente a cada semestre.
- SOC 2 Type II
- Em processo de auditoria · evidências coletadas desde 2025.
Segurança não é uma página de marketing. É a forma como escrevemos código, definimos acessos e respondemos a um pager às 3 da manhã. Se quiser revisar nossos controles em detalhe, agende uma sessão técnica com nosso time de SecOps.