SSDLC – Requisitos de segurança (planejamento)

Nessa fase, são definidos os requisitos de segurança, funcionais e não funcionais, como as regras que devem ser seguidas, incluindo normas como a LGPD. Além disso, as decisões tomadas aqui influenciam diretamente a arquitetura e o design do sistema, garantindo que a segurança seja considerada desde a estruturação inicial.

Algumas perguntas importantes a serem respondidas incluem:

• Qual é a classificação dos dados de acordo com as políticas da empresa? Isso inclui dados pessoais e sensíveis, e deve ser especificado como cada tipo de dado será tratado.
• Quem terá acesso aos dados? Detalhar quem tem permissão para visualizar, alterar ou excluir os dados, com base nas políticas de controle de acesso.
• Políticas de Exclusão: Devemos definir e documentar políticas claras para a exclusão de dados, incluindo como e quando os dados devem ser removidos.

Por exemplo, no nosso sistema, temos dados pessoais e acadêmicos das alunas. Quem terá permissão para ver esses dados? Quem pode alterá-los? Quais são as políticas de exclusão aplicadas?

Na imagem, podemos ver que a aluna possui dados pessoais (nome, CPF, endereço, data de nascimento) e dados acadêmicos (notas, RA, frequência e histórico escolar).

Nota Importante:
Devemos lembrar que, na classificação de dados, existem os dados sensíveis, que são aqueles que revelam origem racial ou étnica, convicções religiosas ou filosóficas, opiniões políticas, filiação sindical, informações genéticas, biométricas, sobre a saúde ou a vida sexual de uma pessoa, conforme estabelecido pela LGPD.

Dados pessoais: são aqueles que permitem a identificação direta ou indireta de uma pessoa.
Dados sensíveis: dentro dos dados pessoais, os dados sensíveis requerem maior cuidado durante a coleta e o tratamento, pois estão diretamente relacionados aos aspectos mais íntimos da personalidade do cidadão.

Voltando ao exemplo, a aluna tem acesso apenas aos seus próprios dados(pessoais e acadêmicos), enquanto a professora tem acesso de visualização e também de edição apenas aos dados acadêmicos de suas alunas, podendo, por exemplo, alterar notas ou incluir justificativas para faltas. Já a administradora tem acesso a todos os dados pessoais, acadêmicos e administrativos de todos os usuários.