{"id":10979,"date":"2026-07-15T22:00:49","date_gmt":"2026-07-15T22:00:49","guid":{"rendered":"https:\/\/mtpinternational.mx\/auditoria-de-seguranca-de-software-numa-agencia-reguladora-critica\/"},"modified":"2026-10-20T20:22:54","modified_gmt":"2026-10-20T20:22:54","slug":"auditoria-de-seguranca-de-software-numa-agencia-reguladora-critica","status":"publish","type":"post","link":"https:\/\/mtpinternational.mx\/pt\/auditoria-de-seguranca-de-software-numa-agencia-reguladora-critica\/","title":{"rendered":"Auditoria de seguran\u00e7a de software numa ag\u00eancia reguladora cr\u00edtica"},"content":{"rendered":"\n[et_pb_section][et_pb_row][et_pb_column type=&#8221;4_4&#8243;][et_pb_text]<!-- divi:paragraph -->\n<p>Uma ag\u00eancia estatal respons\u00e1vel pela supervis\u00e3o da seguran\u00e7a a\u00e9rea nacional realizou, com o apoio da MTP, uma auditoria abrangente de seguran\u00e7a \u00e0s suas aplica\u00e7\u00f5es de software: an\u00e1lise est\u00e1tica de c\u00f3digo-fonte (SAST) com filtragem de falsos positivos, testes din\u00e2micos de seguran\u00e7a (DAST), pentesting manual e forma\u00e7\u00e3o em desenvolvimento seguro para as suas equipas internas. O objetivo foi identificar e mitigar vulnerabilidades nos sistemas que suportam a opera\u00e7\u00e3o regulat\u00f3ria de um dos setores de infraestruturas mais cr\u00edticos do pa\u00eds. <\/p>\n<!-- \/divi:paragraph -->\n\n<!-- divi:heading {\"level\":3} -->\n<h3 class=\"wp-block-heading\"><strong>Seguran\u00e7a desde o c\u00f3digo: auditoria abrangente de aplica\u00e7\u00f5es para uma ag\u00eancia reguladora de infraestruturas cr\u00edticas<\/strong><\/h3>\n<!-- \/divi:heading -->\n\n<!-- divi:heading -->\n<h2 class=\"wp-block-heading\"><strong>O contexto: aplica\u00e7\u00f5es com toler\u00e2ncia zero ao erro num setor regulado<\/strong><\/h2>\n<!-- \/divi:heading -->\n\n<!-- divi:paragraph -->\n<p>Uma ag\u00eancia estatal respons\u00e1vel pela supervis\u00e3o e certifica\u00e7\u00e3o da seguran\u00e7a a\u00e9rea nacional opera num ambiente em que as falhas tecnol\u00f3gicas n\u00e3o s\u00e3o incidentes operacionais isolados \u2014s\u00e3o riscos para a continuidade do sistema regulat\u00f3rio que sustenta a seguran\u00e7a do transporte a\u00e9reo de um pa\u00eds inteiro.<\/p>\n<!-- \/divi:paragraph -->\n\n<!-- divi:paragraph -->\n<p>As aplica\u00e7\u00f5es de software que suportam a atividade de uma ag\u00eancia deste tipo gerem informa\u00e7\u00e3o cr\u00edtica: certifica\u00e7\u00f5es de aeronaves, habilita\u00e7\u00f5es de operadores, registos de incidentes e processos de supervis\u00e3o regulat\u00f3ria. Uma vulnerabilidade n\u00e3o resolvida nestes sistemas n\u00e3o s\u00f3 representa um risco para a seguran\u00e7a da informa\u00e7\u00e3o \u2014pode comprometer a integridade dos processos regulat\u00f3rios que protegem os passageiros, a tripula\u00e7\u00e3o e o espa\u00e7o a\u00e9reo nacional. <\/p>\n<!-- \/divi:paragraph -->\n\n<!-- divi:paragraph -->\n<p>A organiza\u00e7\u00e3o necessitava de uma avalia\u00e7\u00e3o objetiva e independente do estado de seguran\u00e7a das suas aplica\u00e7\u00f5es: que vulnerabilidades existiam, em que n\u00edvel de criticidade e como poderia a equipa interna de desenvolvimento evitar introduzi-las no futuro.<\/p>\n<!-- \/divi:paragraph -->\n\n<!-- divi:heading -->\n<h2 class=\"wp-block-heading\"><strong>A solu\u00e7\u00e3o: uma auditoria em tr\u00eas camadas, mais forma\u00e7\u00e3o interna<\/strong><\/h2>\n<!-- \/divi:heading -->\n\n<!-- divi:paragraph -->\n<p>A MTP desenhou e executou um programa de auditoria de seguran\u00e7a que abrangeu, em simult\u00e2neo, as tr\u00eas dimens\u00f5es da an\u00e1lise de vulnerabilidades em aplica\u00e7\u00f5es de software:<\/p>\n<!-- \/divi:paragraph -->\n\n<!-- divi:list -->\n<ul class=\"wp-block-list\"><!-- divi:list-item -->\n<li><strong>An\u00e1lise est\u00e1tica de c\u00f3digo-fonte (<a href=\"https:\/\/www.opentext.com\/es\/what-is\/sast\" target=\"_blank\" rel=\"noopener\">SAST<\/a>).<\/strong> O c\u00f3digo-fonte das aplica\u00e7\u00f5es auditadas foi analisado para identificar vulnerabilidades de seguran\u00e7a desde a origem \u2014antes da execu\u00e7\u00e3o. O processo incluiu a filtragem manual de falsos positivos, garantindo que os resultados entregues \u00e0s equipas fossem verificados e acion\u00e1veis, e n\u00e3o ru\u00eddo estat\u00edstico. <\/li>\n<!-- \/divi:list-item -->\n\n<!-- divi:list-item -->\n<li><strong>Testes din\u00e2micos de seguran\u00e7a (DAST).<\/strong>  Foram executados testes \u00e0s aplica\u00e7\u00f5es em execu\u00e7\u00e3o, simulando o comportamento de agentes externos com inten\u00e7\u00e3o de explorar vulnerabilidades. Os testes din\u00e2micos complementam a an\u00e1lise est\u00e1tica ao identificar problemas que s\u00f3 emergem em tempo de execu\u00e7\u00e3o \u2014configura\u00e7\u00f5es incorretas, gest\u00e3o insegura de sess\u00f5es, exposi\u00e7\u00e3o de dados em tr\u00e2nsito. <\/li>\n<!-- \/divi:list-item -->\n\n<!-- divi:list-item -->\n<li><strong>Pentesting manual (testes de intrus\u00e3o).<\/strong>  Para al\u00e9m das ferramentas automatizadas, a equipa da MTP executou testes manuais de intrus\u00e3o \u00e0s aplica\u00e7\u00f5es, aplicando o crit\u00e9rio de um especialista em seguran\u00e7a ofensiva para identificar vulnerabilidades que os scanners autom\u00e1ticos n\u00e3o detetam: l\u00f3gica de neg\u00f3cio incorreta, encadeamento de vulnerabilidades, escalada de privil\u00e9gios.<\/li>\n<!-- \/divi:list-item -->\n\n<!-- divi:list-item -->\n<li><strong>Forma\u00e7\u00e3o em Desenvolvimento Seguro de Software.<\/strong>  Uma vez conclu\u00edda a auditoria, a MTP formou a equipa interna de desenvolvimento em boas pr\u00e1ticas de seguran\u00e7a desde a conce\u00e7\u00e3o \u2014n\u00e3o como rea\u00e7\u00e3o aos resultados, mas como integra\u00e7\u00e3o de uma cultura de seguran\u00e7a no ciclo de vida do desenvolvimento de software.<\/li>\n<!-- \/divi:list-item --><\/ul>\n<!-- \/divi:list -->\n\n<!-- divi:paragraph -->\n<p>O programa abrangeu as aplica\u00e7\u00f5es auditadas, aplicando a norma OWASP Application Security Verification Standard (ASVS) 3.0 como quadro de refer\u00eancia para a avalia\u00e7\u00e3o e utilizando ferramentas l\u00edderes em an\u00e1lise est\u00e1tica e din\u00e2mica de seguran\u00e7a.<\/p>\n<!-- \/divi:paragraph -->\n\n<!-- divi:heading -->\n<h2 class=\"wp-block-heading\"><strong>M\u00e9tricas-chave<\/strong><\/h2>\n<!-- \/divi:heading -->\n\n<!-- divi:paragraph -->\n<p><\/p>\n<!-- \/divi:paragraph -->\n\n<!-- divi:table -->\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><tbody><tr><td><strong>Indicador<\/strong><\/td><td><strong>Dado dispon\u00edvel<\/strong><\/td><\/tr><tr><td>Aplica\u00e7\u00f5es auditadas<\/td><td>M\u00faltiplas aplica\u00e7\u00f5es da ag\u00eancia (n\u00famero exato por confirmar)<\/td><\/tr><tr><td>Camadas de an\u00e1lise executadas<\/td><td>SAST + DAST + pentesting manual (cobertura integral)<\/td><\/tr><tr><td>Quadro de refer\u00eancia de seguran\u00e7a<\/td><td>OWASP ASVS 3.0 \u2014 norma internacional para verifica\u00e7\u00e3o de seguran\u00e7a<\/td><\/tr><tr><td>Equipa formada<\/td><td>Equipa interna de desenvolvimento em Desenvolvimento Seguro de Software<\/td><\/tr><tr><td>Vulnerabilidades detetadas por criticidade<\/td><td>(Dado por obter \u2014 fundamental para publicar)<\/td><\/tr><\/tbody><\/table><\/figure>\n<!-- \/divi:table -->\n\n<!-- divi:heading -->\n<h2 class=\"wp-block-heading\"><strong>Metodologia de medi\u00e7\u00e3o<\/strong><\/h2>\n<!-- \/divi:heading -->\n\n<!-- divi:paragraph -->\n<p>A an\u00e1lise SAST foi realizada com ferramentas especializadas de an\u00e1lise de c\u00f3digo-fonte, com filtragem manual de falsos positivos por parte da equipa da MTP, utilizando o OWASP ASVS 3.0 como taxonomia de refer\u00eancia para a classifica\u00e7\u00e3o dos resultados. Os testes DAST foram executados nos ambientes de teste das aplica\u00e7\u00f5es com ferramentas de an\u00e1lise din\u00e2mica de seguran\u00e7a. O pentesting manual seguiu uma metodologia estruturada de reconhecimento, identifica\u00e7\u00e3o de vetores de ataque e explora\u00e7\u00e3o controlada em ambientes autorizados, com documenta\u00e7\u00e3o completa de cada resultado para entrega \u00e0s equipas internas.  <\/p>\n<!-- \/divi:paragraph -->\n\n<!-- divi:paragraph -->\n<p><\/p>\n<!-- \/divi:paragraph -->\n\n<!-- divi:paragraph -->\n<p>Conhece o estado real de seguran\u00e7a das aplica\u00e7\u00f5es da sua organiza\u00e7\u00e3o? A MTP realiza auditorias abrangentes de seguran\u00e7a \u2014SAST, DAST e pentesting\u2014 com entrega de resultados verificados e um plano de remedia\u00e7\u00e3o priorizado. Agende uma conversa com a nossa equipa de seguran\u00e7a.  <\/p>\n<!-- \/divi:paragraph -->\n\n<!-- divi:paragraph -->\n<p><strong><a href=\"https:\/\/mtpinternational.mx\/pt\/contacto\/\">Falar com a equipa de seguran\u00e7a da MTP<\/a><\/strong><\/p>\n<!-- \/divi:paragraph -->[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section]\n","protected":false},"excerpt":{"rendered":"<p><div class=\"et_pb_section et_pb_section_0 et_section_regular\" >\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t<\/div><div class=\"et_pb_row et_pb_row_0 et_pb_row_empty\">\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t<\/div><div class=\"et_pb_module et_pb_text et_pb_text_0  et_pb_text_align_left et_pb_bg_layout_light\">\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t<\/div> Uma ag\u00eancia estatal respons\u00e1vel pela supervis\u00e3o da seguran\u00e7a a\u00e9rea nacional realizou, com o apoio da MTP, uma auditoria abrangente de seguran\u00e7a \u00e0s suas aplica\u00e7\u00f5es de software: an\u00e1lise est\u00e1tica de c\u00f3digo-fonte (SAST) com filtragem de falsos positivos, testes din\u00e2micos de seguran\u00e7a (DAST), pentesting manual e forma\u00e7\u00e3o em desenvolvimento seguro para as suas equipas internas. O objetivo foi identificar e mitigar vulnerabilidades nos sistemas que suportam a opera\u00e7\u00e3o regulat\u00f3ria de um dos setores de infraestruturas mais cr\u00edticos do pa\u00eds. Seguran\u00e7a desde o c\u00f3digo: auditoria abrangente de aplica\u00e7\u00f5es para uma ag\u00eancia reguladora de infraestruturas cr\u00edticas O contexto: aplica\u00e7\u00f5es com toler\u00e2ncia zero ao erro num setor regulado Uma ag\u00eancia estatal respons\u00e1vel pela supervis\u00e3o e certifica\u00e7\u00e3o da seguran\u00e7a a\u00e9rea nacional opera num ambiente em que as falhas tecnol\u00f3gicas n\u00e3o s\u00e3o incidentes operacionais isolados \u2014s\u00e3o riscos para a continuidade do sistema regulat\u00f3rio que sustenta a seguran\u00e7a do transporte a\u00e9reo de um pa\u00eds inteiro. As aplica\u00e7\u00f5es de software que suportam a atividade de uma ag\u00eancia deste tipo gerem informa\u00e7\u00e3o cr\u00edtica: certifica\u00e7\u00f5es de aeronaves, habilita\u00e7\u00f5es de operadores, registos de incidentes e processos de supervis\u00e3o regulat\u00f3ria. Uma vulnerabilidade n\u00e3o resolvida nestes sistemas n\u00e3o s\u00f3 representa um risco para a seguran\u00e7a da informa\u00e7\u00e3o \u2014pode comprometer a integridade dos processos [&hellip;]<\/p>\n","protected":false},"author":6,"featured_media":10980,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_et_pb_use_builder":"on","_et_pb_old_content":"","_et_gb_content_width":"","content-type":"","footnotes":""},"categories":[63,65],"tags":[],"class_list":["post-10979","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-casos-de-sucesso","category-casos-de-sucesso-da-administracao-publica"],"_links":{"self":[{"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/posts\/10979","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/users\/6"}],"replies":[{"embeddable":true,"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/comments?post=10979"}],"version-history":[{"count":1,"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/posts\/10979\/revisions"}],"predecessor-version":[{"id":10981,"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/posts\/10979\/revisions\/10981"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/media\/10980"}],"wp:attachment":[{"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/media?parent=10979"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/categories?post=10979"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mtpinternational.mx\/pt\/wp-json\/wp\/v2\/tags?post=10979"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}