Segurança da Informação

A NR-1 em Foco adota uma abordagem de segurança em múltiplas camadas para proteger os dados mais sensíveis da sua organização: a saúde mental dos seus colaboradores.

Criptografia

A proteção dos dados começa pela criptografia robusta aplicada em todas as etapas do ciclo de vida da informação:

Dados em trânsito

• TLS 1.3: todas as comunicações entre o navegador do usuário e nossos servidores são protegidas pelo protocolo TLS 1.3, a versão mais recente e segura do protocolo de segurança de camada de transporte;
• HSTS (HTTP Strict Transport Security): forçamos o uso exclusivo de conexões HTTPS, impedindo ataques de downgrade de protocolo;
• Certificate Pinning: implementamos fixação de certificados para prevenir ataques do tipo man-in-the-middle;
• Forward Secrecy: utilizamos cifras com sigilo direto perfeito (Perfect Forward Secrecy), garantindo que a eventual comprometimento de uma chave não afete comunicações anteriores.

Dados em repouso

• AES-256: todos os dados armazenados são criptografados com o algoritmo AES-256, padrão adotado pelo governo dos Estados Unidos para informações classificadas;
• Gerenciamento de chaves: as chaves de criptografia são gerenciadas por meio de serviços dedicados de gerenciamento de chaves (KMS), com rotação automática periódica;
• Criptografia de banco de dados: os dados sensíveis de saúde recebem uma camada adicional de criptografia em nível de campo, além da criptografia de disco.

Infraestrutura Cloud

A NR-1 em Foco opera em infraestrutura de nuvem de classe empresarial, com as seguintes características:

• Data centers no Brasil: os dados são armazenados exclusivamente em data centers localizados em território brasileiro, em conformidade com a LGPD e as exigências regulatórias;
• Redundância geográfica: a infraestrutura conta com redundância em múltiplas zonas de disponibilidade, garantindo alta disponibilidade e resiliência;
• Isolamento de rede: os ambientes de produção são isolados por meio de redes privadas virtuais (VPC), com segmentação rigorosa entre serviços;
• Firewall de aplicação (WAF): proteção contra as principais ameaças web, incluindo as vulnerabilidades listadas no OWASP Top 10;
• Proteção contra DDoS: mecanismos automáticos de detecção e mitigação de ataques de negação de serviço distribuída;
• Ambientes segregados: os ambientes de desenvolvimento, homologação e produção são rigorosamente separados, sem compartilhamento de dados reais em ambientes não produtivos.

Controle de Acesso (RBAC)

Implementamos um sistema de Controle de Acesso Baseado em Funções (Role-Based Access Control) que garante o princípio do menor privilégio:

• Perfis de acesso granulares: cada usuário recebe permissões estritamente necessárias para o desempenho de suas funções;
• Autenticação multifator (MFA): obrigatória para todos os usuários com acesso a dados sensíveis;
• Single Sign-On (SSO): integração com provedores de identidade corporativos (SAML 2.0, OAuth 2.0);
• Política de senhas: requisitos rigorosos de complexidade, tamanho mínimo e rotação periódica;
• Sessões seguras: timeout automático de sessão, invalidação de tokens e controle de sessões simultâneas;
• Revisão periódica de acessos: auditorias trimestrais de permissões para garantir adequação dos níveis de acesso.

Monitoramento e Detecção

A plataforma conta com monitoramento contínuo e proativo:

• Monitoramento 24/7: sistemas de monitoramento automatizado operam ininterruptamente, com alertas em tempo real para eventos de segurança;
• SIEM (Security Information and Event Management): correlação inteligente de logs e eventos de segurança para detecção de ameaças;
• Detecção de anomalias: algoritmos de inteligência artificial identificam padrões de comportamento anômalos que possam indicar tentativas de acesso não autorizado;
• Logs de auditoria: registro imutável de todas as ações realizadas na plataforma, incluindo acessos, consultas e modificações de dados;
• Varredura de vulnerabilidades: escaneamento automatizado e periódico da infraestrutura e do código-fonte para identificação de vulnerabilidades;
• Testes de penetração: testes de segurança ofensivos realizados periodicamente por equipes especializadas independentes.

Backups e Recuperação

A estratégia de backup da NR-1 em Foco garante a integridade e a disponibilidade dos dados em qualquer cenário:

• Backups automáticos: cópias de segurança completas realizadas diariamente, com backups incrementais a cada hora;
• Criptografia de backups: todas as cópias de segurança são criptografadas com AES-256 antes do armazenamento;
• Armazenamento geograficamente distribuído: backups são replicados em localizações geográficas distintas dentro do território brasileiro;
• Retenção definida: política de retenção de backups com prazos adequados a cada tipo de dado e às exigências regulatórias;
• Testes de restauração: procedimentos de restauração são testados mensalmente para garantir a efetividade do processo;
• RTO e RPO definidos: Recovery Time Objective (RTO) de 4 horas e Recovery Point Objective (RPO) de 1 hora para dados críticos.

Padrões e Referências

Nossas práticas de segurança são alinhadas aos principais padrões e frameworks internacionais:

• ISO/IEC 27001: Sistema de Gestão de Segurança da Informação como referência para nossos processos e controles;
• ISO/IEC 27701: extensão da ISO 27001 para gestão de privacidade, aplicável ao tratamento de dados pessoais;
• NIST Cybersecurity Framework: framework de referência para identificação, proteção, detecção, resposta e recuperação de incidentes;
• OWASP: diretrizes de segurança para aplicações web, incluindo as recomendações do OWASP Top 10 e OWASP ASVS;
• CIS Controls: controles de segurança prioritários do Center for Internet Security;
• LGPD (Lei n. 13.709/2018): conformidade integral com a legislação brasileira de proteção de dados pessoais.

Resposta a Incidentes

A NR-1 em Foco mantém um Plano de Resposta a Incidentes de Segurança estruturado e testado periodicamente:

Fases do plano

1. Preparação: equipe de resposta treinada, ferramentas configuradas e procedimentos documentados;
2. Detecção e análise: identificação do incidente, avaliação da severidade e classificação do impacto;
3. Contenção: isolamento imediato dos sistemas afetados para limitar a extensão do incidente;
4. Erradicação: remoção da causa raiz e eliminação de qualquer persistência da ameaça;
5. Recuperação: restauração segura dos sistemas e serviços afetados;
6. Lições aprendidas: análise pós-incidente, documentação e implementação de melhorias preventivas.

Comunicação

Em caso de incidente que possa afetar dados pessoais, a NR-1 em Foco comunicará a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados em conformidade com o Art. 48 da LGPD, informando a natureza dos dados afetados, os riscos envolvidos e as medidas adotadas.

Sigilo Profissional

Por lidar com dados de saúde mental, a NR-1 em Foco assume compromissos adicionais de sigilo:

• Conformidade com o Código de Ética do CRP: os processos da plataforma respeitam os princípios éticos estabelecidos pelo Conselho Federal de Psicologia, incluindo o sigilo profissional previsto no Art. 9 do Código de Ética;
• Conformidade com o Código de Ética Médica (CRM): quando aplicável, o tratamento de dados observa as disposições do sigilo médico previstas no Código de Ética Médica;
• Confidencialidade contratual: todos os colaboradores, prestadores de serviço e parceiros da NR-1 em Foco firmam termos de confidencialidade com cláusulas específicas sobre dados de saúde;
• Acesso restrito por profissionais habilitados: dados individuais de saúde mental são acessíveis exclusivamente por profissionais devidamente registrados nos conselhos de classe competentes (CRP ou CRM);
• Anonimização em relatórios gerenciais: os relatórios entregues a gestores e administradores da organização contratante apresentam apenas dados agregados e anonimizados, sem possibilidade de identificação individual de colaboradores.

Desenvolvimento Seguro

A segurança é incorporada em todo o ciclo de desenvolvimento de software:

• Security by Design: requisitos de segurança são definidos desde a fase de concepção de cada funcionalidade;
• Revisão de código: todo código passa por revisão obrigatória antes de ser incorporado à plataforma;
• Análise estática de segurança (SAST): ferramentas automatizadas verificam o código-fonte em busca de vulnerabilidades;
• Análise dinâmica de segurança (DAST): testes automatizados simulam ataques contra a aplicação em execução;
• Gerenciamento de dependências: monitoramento contínuo de bibliotecas e componentes de terceiros para identificação de vulnerabilidades conhecidas;
• Ambientes de homologação isolados: todas as alterações são validadas em ambiente segregado antes da implantação em produção.

Contato

Para reportar vulnerabilidades de segurança ou para dúvidas sobre nossas práticas de proteção de dados:

• Segurança: seguranca [arroba] nr1emfoco.com.br
• Encarregado de Proteção de Dados (DPO): dpo [arroba] nr1emfoco.com.br

A NR-1 em Foco incentiva a divulgação responsável de vulnerabilidades e se compromete a tratar todos os relatos com seriedade e agilidade.

NR-1 em Foco Tecnologia Ltda.
São Paulo/SP - Abril de 2026