Seguranca Empresarial
Arquitetura security-first com autenticacao multicamada, controle de acesso granular, criptografia em cada camada e infraestrutura de auditoria preparada para conformidade regulatoria.
Seguranca em cada camada
Da autenticacao ao armazenamento de dados, cada componente e projetado com principios de defesa em profundidade para proteger seus fluxos de trabalho de ML e dados sensiveis.
Stack de Autenticacao
Autenticacao multicamada que suporta acesso UI baseado em sessoes, autenticacao por API key, provedores OAuth e SSO empresarial para federacao de identidade sem friccao.
- ✓Sessoes seguras baseadas em cookies com protecao CSRF para a UI do navegador
- ✓Autenticacao por Bearer token para integracoes API e SDKs
- ✓Provedores OAuth 2.0: login unico com Google e GitHub
- ✓SSO empresarial via SAML 2.0 e OpenID Connect (OIDC)
Controle de Acesso Baseado em Papeis
Permissoes granulares com escopo de projeto e tres papeis definidos. Cada endpoint da API verifica a propriedade antes de conceder acesso aos recursos.
- ✓Owner: controle total incluindo gestao de membros e exclusao
- ✓Editor: criar e modificar datasets, experimentos e deploys
- ✓Viewer: acesso somente leitura a recursos do projeto e dashboards
- ✓Verificacao de propriedade em cada endpoint via require_project_owned()
Seguranca de Dados
Protecao de dados em profundidade com seguranca a nivel de linha no PostgreSQL, criptografia AES-256 em repouso, TLS 1.3 em transito e deploy de bancos de dados em sub-redes privadas.
- ✓Seguranca a nivel de linha no PostgreSQL para isolamento de dados por tenant
- ✓Criptografia AES-256 em repouso para todos os dados e artefatos armazenados
- ✓Criptografia TLS 1.3 em transito para todas as conexoes API e UI
- ✓Bancos de dados implantados em sub-redes privadas sem acesso direto a internet
Auditoria e Conformidade
Registro de auditoria exaustivo que captura cada evento relevante de seguranca. Ferramentas de conformidade integradas para exportacao de dados GDPR, direito ao esquecimento e relatorios regulatorios.
- ✓Registro de auditoria imutavel para autenticacao, acesso e operacoes de dados
- ✓Rastreamento de eventos de seguranca: tentativas falhas de login, mudancas de permissoes, rotacao de chaves
- ✓Portabilidade de dados GDPR Artigo 20 via API de exportacao completa de conta
- ✓Direito ao esquecimento: exclusao completa de conta e dados em 30 dias
Gestao de API Keys
Ciclo de vida seguro de API keys com permissoes por escopo, politicas de rotacao automatica e revogacao instantanea. As chaves sao armazenadas com hash e nunca em texto plano.
- ✓Crie multiplas API keys com rotulos descritivos por conta
- ✓Permissoes por escopo: restrinja chaves a projetos ou endpoints especificos
- ✓Politicas de rotacao configuraveis com periodos de graca para migracao
- ✓Revogacao instantanea com propagacao em tempo real em todos os servicos
Gestao de Sessoes
Modelo de autenticacao dual com sessoes seguras por cookie para a UI do navegador e tokens Bearer sem estado para consumidores de API. Politicas configuraveis de expiracao e tempo de inatividade.
- ✓Sessoes com cookies HttpOnly, Secure, SameSite com validacao de token CSRF
- ✓Tokens JWT Bearer sem estado para autenticacao API e SDK
- ✓Expiracao de sessao configuravel e limites de tempo de inatividade
- ✓Limites de sessoes concorrentes com encerramento forcado ao alterar senha
Matriz de permissoes
Papeis com escopo de projeto e limites de permissoes claros. Cada chamada de API e verificada contra o papel do solicitante antes da sua execucao.
| Acao | Owner | Editor | Viewer |
|---|---|---|---|
| Ver projetos e dashboards | ✓ | ✓ | ✓ |
| Fazer upload de datasets e versoes | ✓ | ✓ | — |
| Executar experimentos AutoML | ✓ | ✓ | — |
| Fazer deploy de modelos em endpoints | ✓ | ✓ | — |
| Configurar alertas e retreinamento | ✓ | ✓ | — |
| Gerenciar membros do projeto | ✓ | — | — |
| Excluir projeto e recursos | ✓ | — | — |
| Rotacionar e revogar API keys | ✓ | — | — |
Projetado para conformidade regulatoria
Operacoes de seguranca
Gestao de vulnerabilidades
Auditorias de seguranca regulares e analise automatizada de vulnerabilidades em dependencias. Patches criticos aplicados dentro de 24 horas apos a divulgacao.
Divulgacao responsavel
Mantemos um programa de divulgacao responsavel e recebemos pesquisadores de seguranca para reportar vulnerabilidades em security@coreplexml.io.
Resposta a incidentes
Plano de resposta a incidentes documentado com rotas de escalamento definidas, rotacao de plantao 24/7 e processo de revisao pos-incidente.
Testes de penetracao
Testes de penetracao anuais por terceiros de todos os servicos, APIs e fluxos de autenticacao expostos externamente, com acompanhamento de remediacao.