Governança e conformidade

Garanta que as arquiteturas atendam a requisitos organizacionais, regulatórios e de segurança com políticas como código e governança automatizada.

Governança de arquitetura

O que é governança?

É garantir que as decisões de infraestrutura:

• Se alinhem à estratégia organizacional.
• Cumpram requisitos regulatórios.
• Sigam políticas de segurança e custos.
• Sustentem padrões operacionais.

Por que importa

• Riscos: previna erros caros antes de acontecerem.
• Conformidade: atenda a SOC2, HIPAA, PCI e GDPR.
• Custos: aplique políticas de otimização.
• Segurança: mantenha postura consistente.
• Excelência operacional: padronize práticas comprovadas.

Políticas como código

Defina requisitos de arquitetura como políticas aplicadas automaticamente.

Exemplos de políticas

Política: criptografia obrigatória

All databases must be encrypted at rest.
All data in transit must use TLS 1.3.

Política: alta disponibilidade

All databases must be deployed in multi-AZ configuration.
All load balancers must span at least 2 availability zones.

Política: grupos de segurança

No security groups allowing inbound from 0.0.0.0/0 on port 22 or 3389.
All databases must be in private subnets (not internet-facing).

Política: controle de custos

No instances larger than t3.xlarge without approval.
Maximum database storage of 1TB without approval.
All reserved instances must be 1-year or longer.

Política: etiquetas

All resources must have:
- owner: name of responsible person
- cost-center: department paying for resource
- environment: prod, staging, dev
- data-classification: public, internal, confidential, restricted

Aplicação de políticas

(Em breve: editor e mecanismo de aplicação integrados.)

1. Defina políticas no Architecto.
2. Aplique à organização ou equipe.
3. Arquiteturas existentes são validadas automaticamente.
4. Novas arquiteturas são verificadas na criação.
5. Violações aparecem com etapas de correção.

Estruturas de conformidade

SOC 2 Type II

Controles de segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade.

O Architecto ajuda com:

• Criptografia em repouso e trânsito.
• Controle de acesso com políticas IAM.
• Auditoria com CloudTrail e CloudWatch.
• Gestão de mudanças por infraestrutura como código.
• Resposta a incidentes documentada.

Revisão de arquitetura:

✓ Data encrypted at rest (AES-256)
✓ Data encrypted in transit (TLS 1.3)
✓ Multi-AZ deployment (availability)
✓ Access controls configured (least privilege)
✓ Audit logging enabled
✓ Backup and recovery tested

HIPAA: lei de portabilidade e responsabilidade de seguros de saúde

Protege a privacidade e a segurança de dados de saúde.

Requisitos:

• Criptografia de informações de saúde protegidas, PHI.
• Autenticação e controle de acesso.
• Auditoria de todos os acessos.
• Backups e recuperação de desastres.
• Procedimentos de resposta a incidentes.
• Acordos com parceiros comerciais.

Padrão do Architecto para HIPAA:

VPC (isolated network)
├─ VPN for healthcare provider access
├─ Encrypted RDS database with encryption keys in AWS KMS
├─ CloudTrail logging all access
├─ VPC Flow Logs for network monitoring
├─ S3 with encryption and versioning for backups
└─ Multi-region disaster recovery

PCI DSS: padrão de segurança de dados do setor de cartões de pagamento

Protege dados de cartões e pagamentos.

Requisitos:

• Firewall e segmentação da rede.
• Criptografia de dados do titular.
• Verificação de vulnerabilidades.
• Controle de acesso e autenticação.
• Monitoramento e registros.
• Testes regulares de segurança.

Padrão do Architecto para PCI DSS:

Internet-Facing Components (DMZ)
├─ WAF (Web Application Firewall)
├─ Load Balancer (all traffic encrypted)

Application Servers (separated segment)
├─ API Gateway with authentication
├─ Encryption for cardholder data (tokenization)
├─ No storage of sensitive card data

Database Servers (isolated)
├─ Never stores card numbers (only tokens)
├─ Encrypted at rest and in transit
├─ Network segmentation (private subnet)
├─ CloudTrail and database audit logs

GDPR: Regulamento Geral de Proteção de Dados

Protege dados pessoais de residentes da UE.

Direitos:

• Acesso: o titular pode solicitar seus dados.
• Esquecimento: os dados podem ser excluídos.
• Portabilidade: exportação em formato padrão.
• Oposição ao tratamento.
• Proteção de dados desde o design.

Considerações no Architecto:

• Residência: dados devem permanecer na UE.
• Retenção e exclusão de dados antigos.
• Privacidade desde o design e coleta mínima.
• Gestão de consentimento.
• Acordos de tratamento com fornecedores.

Monitoramento e detecção de desvios

O que é um desvio?

Ocorre quando a infraestrutura em operação difere da arquitetura documentada:

Designed Architecture:
- 3 EC2 instances behind load balancer
- Multi-AZ database with 2 read replicas
- CloudFront CDN for static assets

Actual Infrastructure:
- 2 EC2 instances (someone manually shut one down)
- Single database with no replicas (maintenance never done)
- No CDN (disabled to debug issue, never re-enabled)

Como prevenir

1. Infraestrutura como código

• Tudo definido em Terraform ou CloudFormation.
• Mudanças revisadas e aprovadas antes de aplicar.
• Evita erros acidentais de digitação e operação.

2. Detecção de desvios (em breve)

• Comparações agendadas entre design e realidade.
• Alertas quando houver desvios.
• Correção automatizada opcional.

3. Gestão de mudanças

• Todas as alterações por CI/CD.
• Mudanças manuais proibidas ou sinalizadas.
• Trilha de auditoria de todas as mudanças.
• Reversão automática ao detectar problemas.

Auditoria e relatórios

Gerar relatórios de conformidade

Exporte a documentação:

✓ SOC 2 Readiness Report
✓ HIPAA Compliance Checklist
✓ PCI DSS Gap Analysis
✓ GDPR Compliance Inventory
✓ Custom Policy Compliance

Trilha de auditoria

Histórico completo de:

• Quem criou ou modificou cada arquitetura.
• O que mudou e quando.
• Aprovações e revisões.
• Análises em cada etapa.
• Exportações e compartilhamentos.

Documentação

Gere automaticamente:

• Diagramas de fluxo para HIPAA e PCI.
• Documentação de arquitetura de segurança.
• Plano de continuidade de negócios.
• Manual de recuperação de desastres.
• Matrizes de avaliação de riscos.

Governança multi-inquilino e empresarial

Políticas organizacionais

Defina padrões gerais:

• Provedores aprovados: AWS, GCP e Azure.
• Padrões e tecnologias aprovados.
• Limites de custo e orçamento.
• Etiquetas e convenções de nomes obrigatórias.
• Estruturas de conformidade exigidas.

Governança por equipe

Equipes podem substituir políticas mediante:

• Exceções e dispensas.
• Aprovações temporárias.
• Desvios por tempo limitado.

Auditoria e registros

Trilha completa:

Organization Level:
- Organization created/modified
- Members added/removed
- Policies created/changed
- Budget alerts triggered

Team Level:
- Architectures created/deleted
- Analysis results
- Shares and exports
- Comments and reviews

User Level:
- Login/logout
- API calls
- Document edits
- Settings changes

Resposta a incidentes

Preparação

1. Documente a arquitetura no Architecto.
2. Gere um manual por componente crítico.
3. Defina procedimentos de escalonamento.
4. Liste contatos de plantão, gestores e fornecedores.
5. Teste a recuperação trimestralmente.

Resposta

Durante o incidente:

1. Compartilhe a arquitetura com a equipe de resposta.
2. Anote os componentes afetados.
3. Use o modelador de ameaças para encontrar vetores.
4. Procure causas-raiz nos módulos de análise.
5. Registre cronologia e ações.

Recuperação

Após o incidente:

1. Gere relatório a partir do histórico do Architecto.
2. Crie ADR com o ocorrido e a prevenção.
3. Atualize a arquitetura para evitar repetição.
4. Revise os manuais com o aprendizado.
5. Agende análise pós-incidente com a equipe.

Treinamento e gestão do conhecimento

Documentação

O Architecto ajuda a:

• Guardar padrões e arquiteturas aprovados.
• Compartilhar conhecimento com novos membros.
• Documentar decisões e concessões.
• Criar memória institucional.

Trilhas de aprendizado

O Architecto inclui:

• Mais de 1,000 questionários de arquitetura, segurança e conformidade.
• Cartões com repetição espaçada.
• Estudos de caso reais.
• Guias de boas práticas.

Adapte à organização:

• Exemplos de arquiteturas próprias.
• Políticas e requisitos específicos.
• Conjunto de tecnologias da empresa.

Roteiro de conformidade

O roteiro do Architecto inclui:

• Q2 2024: mecanismo de políticas como código.
• Q3 2024: modelos SOC 2, HIPAA e PCI DSS.
• Q3 2024: relatórios automatizados.
• Q4 2024: detecção e correção de desvios.
• Q1 2025: criação de estruturas personalizadas.
• Q2 2025: auditoria e investigação forense avançadas.

Próximos passos

• Defina políticas → Crie políticas organizacionais (em breve).
• Escolha uma estrutura → HIPAA, PCI, SOC2 ou personalizada.
• Audite o existente → Analise as arquiteturas atuais.
• Gere relatórios → Exporte a documentação.
• Saiba mais → Boas práticas

Dúvidas? Escreva para compliance@architecto.dev ou entre no Discord da comunidade.