Políticas de Ciber Segurança

A nossa infra-estrutura é construída com segurança em todas as camadas:

Encriptação: Todos os dados em repouso são encriptados com AES-256. Todas as comunicações utilizam TLS 1.3 com Perfect Forward Secrecy (PFS).

Segmentação de Rede: A nossa infra-estrutura é segmentada em zonas de segurança (DMZ, zona interna, zona de dados) com firewalls de última geração entre cada zona.

Zero Trust Architecture: Verificação contínua de identidade e autorização para todos os acessos, internos e externos. Nunca confiamos implicitamente, sempre verificamos.

Gestão de Chaves: As chaves criptográficas são geridas através de Hardware Security Modules (HSM) certificados FIPS 140-2 Nível 3.

Implementamos controlos rigorosos de identidade e acesso:

• Autenticação multi-factor obrigatória para todos os acessos administrativos

• OTP (One-Time Password) para confirmação de todas as transacções

• Biometria facial e digital disponíveis na aplicação móvel

• Princípio do mínimo privilégio para todos os colaboradores

• Revisões trimestrais de acessos e permissões

• Rotação automática de credenciais e chaves de API

O nosso SOC opera 24 horas por dia, 7 dias por semana, 365 dias por ano:

Monitorização em Tempo Real: Todos os eventos de segurança são analisados em tempo real utilizando sistemas SIEM (Security Information and Event Management) de última geração.

Detecção de Ameaças: Utilizamos inteligência artificial e machine learning para detectar padrões anómalos e ameaças avançadas persistentes (APT).

Resposta a Incidentes: Equipa dedicada de resposta a incidentes com procedimentos testados e tempo de resposta inferior a 15 minutos para incidentes críticos.

Threat Intelligence: Subscrição a feeds de inteligência de ameaças globais para antecipar e bloquear ameaças emergentes.

A segurança está integrada em todo o ciclo de desenvolvimento:

• Revisões de código seguro (Secure Code Review) para todas as alterações

• Testes de penetração (Penetration Testing) trimestrais por entidades independentes

• Análise estática e dinâmica de código (SAST/DAST) no pipeline de CI/CD

• Bug Bounty Program para investigadores de segurança externos

• Gestão de vulnerabilidades com SLA de remediação por severidade

• Protecção contra OWASP Top 10 e ameaças móveis específicas

Garantimos a disponibilidade contínua dos nossos serviços:

• RTO (Recovery Time Objective) < 4 horas para sistemas críticos

• RPO (Recovery Point Objective) < 1 hora para dados financeiros

• Replicação de dados em tempo real para datacenters geograficamente distribuídos

• Testes de DR (Disaster Recovery) realizados semestralmente

• SLA de disponibilidade de 99.9% para os serviços de pagamento

• Backups encriptados com retenção de 7 anos

Avaliamos rigorosamente todos os nossos fornecedores e parceiros tecnológicos:

• Due diligence de segurança antes de qualquer integração

• Avaliações anuais de risco de fornecedores críticos

• Cláusulas contratuais de segurança e protecção de dados

• Direito de auditoria para fornecedores de serviços críticos

• Monitorização contínua de dependências e componentes de terceiros

Todos os colaboradores passam por formação obrigatória em ciber segurança:

• Formação inicial em segurança da informação

• Simulações de phishing trimestrais

• Actualização anual sobre novas ameaças

• Certificações específicas para equipas técnicas (CISSP, CEH, etc.)

• Política clara de mesa limpa e ecrã limpo

Se descobrir uma vulnerabilidade de segurança nos nossos sistemas, por favor reporte responsavelmente:

E-mail: security@paypay.ao (chave PGP disponível)

Bug Bounty: Reconhecemos e recompensamos descobertas válidas

Não tome acções que possam comprometer dados de utilizadores ou sistemas. Investigamos todas as reportações com seriedade.