Checklist de Auditoria de Conformidade em Transferências

Uma auditoria de conformidade de um sistema de transferência de ficheiros em 2026 examina se a implementação aplica realmente os controlos afirmados nas suas políticas. Uma checklist funcional cobre oito áreas: encriptação (AES-256-GCM em repouso, TLS 1.3 em trânsito, ciclo de vida das chaves), controlo de acesso (MFA, menor privilégio, timeouts de sessão), residência de dados (localizações dos servidores, subcontratantes), registo e monitorização (trilho de auditoria por ação, ingestão SIEM), retenção e eliminação (correspondência com a política, apagamento criptográfico), diligência devida de terceiros (SOC 2 do fornecedor, ISO 27001), resposta a incidentes (plano de ação testado, capacidade de notificação em 24–72 horas) e formação de utilizadores (atualização anual, conteúdo por função).

Por Que Esta Auditoria Difere de uma Auditoria TI Geral

Os sistemas de transferência de ficheiros situam-se numa fronteira: dentro do seu controlo quando o pessoal carrega, fora quando os destinatários transferem. Uma auditoria TI geral pode verificar a encriptação de disco e as regras de firewall. Uma auditoria de transferência de ficheiros tem de seguir o ficheiro através da fronteira. O destinatário autentica-se? A localização de transferência é controlada? O link pode ser reencaminhado? O que acontece após a expiração? A auditoria também mapeia para regulamentos que tratam especificamente a transferência de ficheiros: artigos 32 e 28 do RGPD, HIPAA 45 CFR 164.312(e) sobre segurança de transmissão, PCI DSS Requisito 4, e requisitos de trilho de auditoria da Secção 404 da SOX. Enquadrar a auditoria face a estas cláusulas específicas afina as conclusões. A CNPD em Portugal pode verificar exatamente estes controlos durante inspeções sobre o tratamento de dados pessoais.

Secção de Criptografia da Checklist

Verifique que os ficheiros em repouso são encriptados com AES-256 em modo GCM ou CBC-HMAC autenticado. Verifique que o transporte usa TLS 1.3 ou TLS 1.2 com cifras fortes (sem RC4, 3DES ou de grau exportação). Para serviços com encriptação ponta-a-ponto, inspecione a derivação de chaves (PBKDF2 com pelo menos 600 000 iterações, ou Argon2id com parâmetros calibrados) e confirme que as chaves nunca chegam ao servidor em texto simples. Verifique a cadência de rotação de chaves para chaves de longa duração (90 dias para chaves de sessão, anualmente para chaves mestras em sistemas com suporte KMS). Confirme o uso de HSM ou KMS para chaves mestras via registo de auditoria ou atestação do fornecedor. Solicite a secção de conclusões criptográficas do relatório de teste de penetração.

Controlo de Acesso e Autenticação

Inspecione os métodos de autenticação disponíveis. A MFA deve ser obrigatória para contas administrativas e de remetente, com suporte de TOTP, WebAuthn ou notificações push. O SSO via SAML 2.0 ou OIDC deve integrar-se com o IdP da organização (Okta, Azure AD, Google Workspace). Os timeouts de sessão de 15–30 minutos para utilizadores inativos alinham-se com a prática padrão. Para destinatários, links protegidos por palavra-passe, verificação por e-mail por destinatário ou acesso baseado em SSO. Os links partilhados sem controlo de acesso são uma conclusão negativa. Verifique o modelo de funções de administrador: a separação entre o administrador do sistema e o revisor de auditoria impede que a pessoa que gere os registos possa também adulterá-los.

Residência de Dados e Subcontratantes

Confirme a lista documentada de centros de dados, as suas certificações (ISO 27001, SOC 2 Tipo II, SecNumCloud quando aplicável) e os países em que operam. Verifique que as cópias de segurança ficam dentro da região obrigatória. Obtenha a lista de subcontratantes e verifique a postura de conformidade de cada um. Um fornecedor alojado na AWS Ireland com um fornecedor CDN com sede nos EUA tem um subcontratante CDN a investigar. Teste os controlos de localização carregando um ficheiro e inspecionando os traços de rede com uma ferramenta como o Wireshark ou as ferramentas de desenvolvimento do navegador para ver para onde vão realmente os bytes. As discrepâncias entre as afirmações de marketing e o comportamento observado são conclusões negativas.

Registo, Monitorização e Alertas

Extraia uma amostra de 30 dias de registos de auditoria. Verifique que cada carregamento, transferência, criação de link, expiração de link, ação administrativa e autenticação falhada aparece. Verifique a integridade por hash encadeado nas entradas de registo. Confirme que os registos são transmitidos para um SIEM (Splunk, Sentinel, Elastic, Datadog) ou são exportáveis via API. Teste a recuperação: peça ao administrador para produzir registos para um intervalo de datas específico e meça o tempo de resposta. Reveja as regras de alerta: volumes de transferência invulgares, acesso a partir de novas geografias, alterações de privilégios de administrador e bursts de MFA falhada devem ser acionadas. A ausência de alertas em qualquer uma destas categorias é uma conclusão negativa. Verifique a retenção dos registos satisfaz a regra aplicável mais longa (seis anos HIPAA, sete anos SOX).

Controlos de Retenção e Eliminação

A política vs a prática divergem frequentemente. Se a política define retenção de 7 dias para transferências gerais e 30 dias para salas de projeto, verifique que a ferramenta aplica esses padrões e que não podem ser substituídos sem ação de administrador. Teste a eliminação carregando um ficheiro, esperando pela expiração, depois tentando recuperá-lo. O ficheiro deve devolver uma página 404 ou link-expirado. Pergunte sobre a mecânica de eliminação: a eliminação ao nível do ficheiro apenas deixa cópias de segurança, enquanto o apagamento criptográfico via destruição de chaves satisfaz o NIST SP 800-88 imediatamente. Confirme a funcionalidade de retenção legal simulando um pedido de retenção e verificando que a eliminação é suspensa.

Diligência Devida de Terceiros

Recolha o relatório SOC 2 Tipo II mais recente do fornecedor, o certificado ISO 27001, as certificações setoriais relevantes, o resumo do teste de penetração e o Acordo de Tratamento de Dados. O relatório SOC 2 deve abranger pelo menos os Critérios de Serviços de Confiança de Segurança e Confidencialidade, e para uso com muita privacidade, também Privacidade. Verifique o nome do auditor (PwC, Deloitte, EY, KPMG, Schellman, BDO e firmas semelhantes de reputação). Verifique que o âmbito inclui o produto de transferência de ficheiros, não apenas a TI corporativa. Reveja as exceções e respostas da gestão. Um SOC 2 com múltiplas exceções não resolvidas no período de auditoria é preocupante. Execute o fornecedor contra as bases de dados de violações publicadas pela FTC ou pela CISA.

Resposta a Incidentes e Continuidade de Negócio

Solicite o plano de resposta a incidentes. Deve identificar funções, métodos de contacto, níveis de escalamento e modelos de notificação. Verifique que um exercício em mesa ou ao vivo ocorreu nos últimos 12 meses e reveja o relatório pós-ação. Confirme o SLA de notificação de violação do fornecedor no DPA: 24–72 horas é típico para clientes regulados — e está alinhado com o prazo de 72 horas exigido pelo artigo 33 do RGPD para notificação à CNPD. Teste enviando uma questão de segurança pelo canal publicado e medindo o tempo de resposta. Verifique a continuidade de negócio: frequência de cópias de segurança, compromissos RPO/RTO e failover testado. Pergunte quando ocorreu o último exercício de recuperação de desastre e quais foram os resultados.

Fechar a Auditoria

Transforme as conclusões em remediações classificadas. As conclusões críticas (encriptação em falta, sem DPA, sem plano de resposta a incidentes) bloqueiam o uso continuado até serem resolvidas. As conclusões de alta prioridade (controlos de retenção fracos, registo parcial) requerem correções em 30–60 dias com controlos compensatórios provisórios. As conclusões de média e baixa prioridade alimentam o próximo ciclo de auditoria. Reavalie anualmente no mínimo, com mais frequência para ambientes de alta mudança. Archive o relatório de auditoria com evidências de suporte num armazém à prova de adulteração durante pelo menos o período de retenção da regra aplicável mais longa.

O HexaTransfer publica a sua abordagem de encriptação, alojamento na UE e comportamento de retenção para compradores que querem auditar antes de usar. Experimente em hexatransfer.com — gratuito, sem conta, máximo de 10 GB.

Uma auditoria de conformidade não consiste em gerar uma pilha de documentos. Consiste em verificar se o sistema de transferência de ficheiros resistiria ao escrutínio de um regulador como a CNPD ou a um cliente exigente. Percorra cada controlo, teste-o face ao regulamento e recolha evidências. O resultado é confiança ou um plano de remediação. Ambos são úteis. Nenhum é opcional para compradores regulados em 2026.