Glossário de Engenharia Regulada

Os termos que aparecem quando o comitê de risco avalia um fornecedor de software: trilha de auditoria, segregação de ambientes, menor privilégio, RTO e RPO, gestão de segredos, plano de saída e as exigências da Resolução CMN 4.893.

16 termos · atualizado em 09/2026

Glossários: Crédito Seguros Cooperativismo & Regulação Tecnologia Financeira Engenharia Regulada

Criptografia em Repouso e em Trânsito

Proteção do dado nos dois estados em que ele existe: armazenado (repouso) e trafegando pela rede (trânsito). Em repouso, o dado é cifrado no banco e no backup; em trânsito, a comunicação usa TLS. A eficácia depende da gestão das chaves — criptografia com chave exposta não protege nada.

Gestão de Segredos

Prática de armazenar senhas, chaves de API, certificados e tokens fora do código-fonte, em cofre gerenciado com controle de acesso e rotação periódica. Segredo em repositório de código ou em variável de build é um dos achados mais comuns em auditoria de fornecedor de software.

Homologação (Ambiente e Etapa)

Etapa em que a organização contratante valida se a entrega atende aos requisitos acordados antes de ir para produção, geralmente em um ambiente que replica produção com dados mascarados. Em instituição regulada, costuma ser o caminho crítico do cronograma — não o desenvolvimento.

MFA (Autenticação Multifator)

Exigência de dois ou mais fatores independentes para autenticar um acesso — algo que a pessoa sabe, algo que ela tem e algo que ela é. Em sistema crítico, é considerado obrigatório para todo acesso administrativo e para operações sensíveis.

Mascaramento de Dados

Substituição de dados reais por valores fictícios porém realistas em ambientes que não são de produção, preservando o formato para que os testes funcionem. É o que permite desenvolver e homologar sem expor dado pessoal de cliente, requisito direto da LGPD quanto à minimização.

Menor Privilégio

Princípio segundo o qual cada pessoa, sistema ou serviço recebe apenas as permissões estritamente necessárias para a sua função, e nada além. Reduz o alcance de um acesso comprometido e é um dos primeiros pontos verificados em avaliação de fornecedor.

Observabilidade

Capacidade de entender o que está acontecendo dentro de um sistema a partir do que ele emite: logs, métricas e rastros de requisição. Diferente do monitoramento tradicional, que responde se o sistema está no ar, a observabilidade permite responder por que ele se comportou de determinada forma.

Plano de Saída de Fornecedor

Conjunto documentado de condições que permite à organização encerrar um contrato de tecnologia e migrar para outro fornecedor sem interrupção: propriedade do código, acesso à documentação, portabilidade dos dados, prazo de transição e ausência de componente proprietário que crie dependência. A Resolução CMN 4.893 torna esse ponto obrigatório na contratação de serviços relevantes de processamento e armazenamento de dados.

RTO e RPO

Os dois números que definem a tolerância de uma operação a desastre. RTO (Recovery Time Objective) é quanto tempo o sistema pode ficar indisponível; RPO (Recovery Point Objective) é quanto dado a operação aceita perder, medido pela janela desde o último ponto de recuperação. Ambos deveriam constar em contrato, não apenas em documento técnico.

Rate Limiting

Limite de quantas requisições um cliente pode fazer a uma API em determinado intervalo. Protege contra abuso, ataque de força bruta e sobrecarga acidental de integração, e é um controle esperado em qualquer API exposta ao exterior.

Resolução CMN 4.893

Norma do Conselho Monetário Nacional, de 26 de fevereiro de 2021, que dispõe sobre política de segurança cibernética e sobre os requisitos para contratação de serviços de processamento e armazenamento de dados e de computação em nuvem por instituições autorizadas pelo Banco Central. Revogou a Resolução CMN 4.658, de 2018, que tratava do mesmo tema e ainda é citada com frequência. Entre outros pontos, exige avaliação prévia do fornecedor, previsão de acesso do regulador, definição de onde os dados ficam e plano de saída.

Resposta a Incidente

Processo formal para detectar, classificar por severidade, conter, corrigir e comunicar um evento que afete a segurança ou a disponibilidade do sistema, com registro que permita reconstruir o que ocorreu. Em instituição supervisionada, o prazo e o conteúdo da comunicação são tratados em norma.

Rollback

Retorno planejado de um sistema à versão anterior estável quando uma publicação apresenta falha. Um rollback confiável exige versionamento, compatibilidade de banco de dados entre versões e ensaio prévio — sem isso, a alternativa em produção vira correção às pressas.

Segregação de Ambientes

Separação efetiva entre desenvolvimento, homologação e produção, com credenciais, redes e dados distintos. Impede que um erro em teste alcance a operação real e que dado de produção circule fora dela. Auditoria costuma verificar não só a existência dos ambientes, mas quem tem acesso a cada um.

Segregação de Funções

Distribuição de uma atividade sensível entre pessoas diferentes, de modo que quem desenvolve não seja quem aprova nem quem publica em produção. Reduz risco de fraude e de erro não detectado, e é distinta da segregação de ambientes, que separa infraestrutura em vez de responsabilidades.

Trilha de Auditoria

Registro imutável de quem fez o quê, quando e a partir de onde, em cada evento sensível do sistema. Serve para reconstruir uma operação meses depois, diante de auditoria interna, do regulador ou de contestação de cliente. Trilha que pode ser editada ou apagada por quem opera o sistema não cumpre a função.

Vamos conversar

Sua operação é única.
O software também precisa ser.

Converse com nosso time sobre plataformas financeiras ou desenvolvimento de software sob medida para uma operação crítica.

Equipe em reunião

Especialista GlassAuto

Diagnóstico em linguagem de negócio

Antes da tecnologia, entendemos a operação, os riscos e o resultado que precisa ser alcançado.

Caminho adequado ao desafio

Produto White Label quando já existe aderência; desenvolvimento sob medida quando a operação exige algo próprio.

Vamos conversar sobre sua operação

Quer falar agora? [email protected] | (43) 3047-2255

×

GA

Especialista Online

Disponível agora

GA

GlassAuto

Especialista Online

Olá! Em que posso ajudar?

Agora