HemoDoctor é um dispositivo médico SaMD Classe III. A segurança e privacidade dos dados são fundamentais para a proteção de pacientes e conformidade regulatória.
- ISO 27001: Sistema de Gestão de Segurança da Informação
- LGPD: Lei Geral de Proteção de Dados (Brasil)
- HIPAA: Health Insurance Portability and Accountability Act
- FDA Cybersecurity: Guidance for Medical Devices
- ANVISA: RDC 657/2022 - Requisitos de Cybersecurity
- ✅ SEC-001: Análise de Cybersecurity v1.0
- ✅ SBOM: Software Bill of Materials v1.0
- ✅ VEX: Vulnerability Exploitability eXchange v1.0
Se você descobrir uma vulnerabilidade de segurança no HemoDoctor:
- Não abra issues públicas no GitHub
- Não poste em redes sociais ou fóruns
- Não compartilhe detalhes antes da correção
Email de Segurança: [email protected]
Informações a Incluir:
Assunto: [SECURITY] Vulnerabilidade no HemoDoctor
1. Descrição da Vulnerabilidade
- Tipo (ex: SQL Injection, XSS, etc.)
- Componente afetado
- Versão afetada
2. Impacto Potencial
- Gravidade: Crítica / Alta / Média / Baixa
- Dados em risco
- Funcionalidades comprometidas
3. Prova de Conceito (PoC)
- Passos para reproduzir
- Screenshots (se aplicável)
- Código demonstrativo
4. Sugestões de Mitigação
- Correções propostas
- Workarounds temporários
5. Informações do Pesquisador
- Nome/Pseudônimo
- Email de contato
- Afiliação (opcional)
| Ação | Prazo |
|---|---|
| Confirmação de recebimento | 48 horas |
| Avaliação inicial | 5 dias úteis |
| Plano de correção | 10 dias úteis |
| Implementação (crítica) | 30 dias |
| Implementação (alta) | 60 dias |
| Implementação (média/baixa) | 90 dias |
| Divulgação coordenada | Acordo mútuo |
Pesquisadores de segurança responsáveis serão:
- Creditados em nosso Hall of Fame (se desejarem)
- Notificados quando a correção for publicada
- Reconhecidos em notas de release (com permissão)
- Execução remota de código
- Acesso não autorizado a dados de pacientes
- Bypass completo de autenticação
- Alteração não autorizada de recomendações clínicas
- Elevação de privilégios
- SQL Injection / XSS
- Vazamento de dados sensíveis
- Denial of Service com impacto clínico
- Exposição de informações do sistema
- CSRF em funções não-críticas
- Validação inadequada de entrada
- Logs insuficientes
- Divulgação de versões de software
- Problemas de configuração menores
- Issues de UX relacionadas à segurança
- ✅ Multi-factor Authentication (MFA)
- ✅ Role-Based Access Control (RBAC)
- ✅ Controle de sessão
- ✅ Políticas de senha forte
- ✅ Criptografia em trânsito (TLS 1.3)
- ✅ Criptografia em repouso (AES-256)
- ✅ Tokenização de dados sensíveis
- ✅ Sanitização de logs
- ✅ Logging de auditoria
- ✅ Detecção de anomalias
- ✅ Alertas de segurança em tempo real
- ✅ SIEM integration
- ✅ Code review obrigatório
- ✅ SAST (Static Application Security Testing)
- ✅ DAST (Dynamic Application Security Testing)
- ✅ Dependency scanning
- ✅ Network segmentation
- ✅ Firewall rules
- ✅ Intrusion detection
- ✅ Regular security updates
Mantemos SBOM atualizado em:
AUTHORITATIVE_BASELINE/09_CYBERSECURITY/SEC/SBOM_HemoDoctor_v1.0.0.json
- Scanning Contínuo: Verificação diária de CVEs
- Avaliação de Risco: Análise de impacto por vulnerabilidade
- VEX Atualizado: Status de exploitabilidade documentado
- Patching Schedule: Correções priorizadas por severidade
Componentes de terceiros são analisados conforme:
AUTHORITATIVE_BASELINE/10_SOUP/SOUP-001_Analysis_v1.0_OFICIAL.md
Processo:
- Identificação de todos os componentes
- Avaliação de riscos de segurança
- Monitoramento de vulnerabilidades
- Plano de atualização/substituição
- Detecção: Identificação do incidente
- Contenção: Isolamento do problema
- Erradicação: Remoção da ameaça
- Recuperação: Restauração dos serviços
- Lições Aprendidas: Análise post-mortem
Incidentes graves são reportados:
- ANVISA: Conforme RDC 67/2009
- Usuários: Notificação imediata de riscos
- Autoridades: Conforme obrigações legais
- Trimestral: Revisão de logs de acesso
- Semestral: Penetration testing
- Anual: Auditoria ISO 27001 completa
- Análise de código estático
- Testes de penetração
- Vulnerability scanning
- Security code review
- Email Principal: [email protected]
- PGP Key: [Disponível mediante solicitação]
- Telefone de Emergência: [Disponível para parceiros autorizados]
| Nível | Contato | Prazo de Resposta |
|---|---|---|
| L1 - Técnico | [email protected] | 2 horas |
| L2 - Gerência | [email protected] | 4 horas |
| L3 - Executivo | [email protected] | 8 horas |
Agradecimentos especiais a pesquisadores de segurança responsáveis:
(Lista será atualizada conforme contribuições)
- FDA: Cybersecurity in Medical Devices
- ANVISA: RDC 657/2022
- ISO/IEC 27001:2013
- IEC 62443 (Industrial Cybersecurity)
Pesquisadores que seguirem esta política não estarão sujeitos a ações legais por:
- Acessar sistemas conforme descrito no relatório
- Testar vulnerabilidades de boa-fé
- Reportar achados de forma responsável
Atividades Proibidas:
- Acesso a dados de pacientes reais
- Testes em ambiente de produção
- Denial of Service (DoS/DDoS)
- Social engineering de funcionários
- Destruição/modificação de dados
Data: Outubro 2025
Versão: 1.0
Responsável: Equipe de Cybersecurity HemoDoctor
Obrigado por ajudar a manter o HemoDoctor seguro!
A segurança de nossos pacientes e a confiança em nosso sistema dependem da comunidade de segurança responsável.