Art.º 42 · Lei n.º 96/2015 — Segurança aplicacional

1 -A empresa gestora deve garantir que o sistema se encontra devidamente protegido contra vulnerabilidades e ataques, impedindo, designadamente:
1. a)Falhas de injeção, nomeadamente, interrogações SQL (Structured Query Language), LDAP (Lightweight Directory Access Protocol) ou XPath (XML Path Language), comandos do sistema operativo (SO) e alteração de argumentos de programa;
2. b)XSS (Cross-Site Scripting).
2 -O sistema deve assegurar a autenticação forte e a gestão das sessões, o que exige, no mínimo, que:
1. a)As credenciais sejam sempre protegidas quando armazenadas com recurso a técnicas de controlo da integridade dos dados (hashing) ou de cifragem dos dados;
2. b)As credenciais não possam ser adivinhadas nem alteradas através de funções de gestão da conta pouco sólidas, nomeadamente, através da criação de conta, alteração da senha, recuperação da senha ou identificadores de sessão frágeis;
3. c)Os identificadores de sessão e os dados da sessão não se encontrem expostos no localizador uniforme de recursos (URL);
4. d)Os identificadores de sessão não sejam vulneráveis a ataques de fixação de sessão;
5. e)Os identificadores de sessão tenham um tempo limite de operação, o que assegura que o utilizador sai do sistema;
6. f)As senhas, os identificadores de sessão e outras credenciais sejam enviados apenas através do protocolo TLS (Transport Layer Security).
3 -O sistema deve possuir uma configuração de segurança adequada, o que exige, no mínimo, que:
1. a)Todos os elementos de software sejam atualizados, na medida do necessário para mitigar eventuais vulnerabilidades, nomeadamente o SO, o servidor web e o servidor de aplicações, o sistema de gestão de bases de dados (DBMS), as aplicações, e todas as bibliotecas de códigos;
2. b)Os serviços e processos desnecessários do SO, servidor web e servidor de aplicações, sejam desativados, retirados ou não sejam instalados;
3. c)As senhas da conta por defeito sejam alteradas ou desativadas.
4 -O sistema deve limitar o acesso ao URL com base nos níveis e autorizações de acesso do utilizador, exigindo-se, no mínimo, que:
1. a)Se forem utilizados mecanismos de segurança externos, para fins de autenticação e verificação das autorizações de acesso às páginas, os mesmos devem estar devidamente configurados para cada página;
2. b)Se for utilizada proteção ao nível dos códigos, a mesma deve existir para cada página pretendida.
5 -O sistema deve utilizar o protocolo TLS de modo a garantir uma proteção suficiente, devendo estar criadas todas as medidas que se seguem ou outras de eficácia equivalente:
1. a)O sistema deve exigir a versão mais atualizada do protocolo HTTPS (Hypertext Transfer Protocol Secure) para aceder a quaisquer recursos sensíveis utilizando certificados que sejam válidos, não caducados, não revogados e compatíveis com todos os domínios utilizados pelo sítio;
2. b)O sistema deve apor a indicação «seguro» em todos os cookies sensíveis;
3. c)O servidor deve configurar o fornecedor do TLS de modo a que este apenas aceite algoritmos de cifragem de dados conformes com as melhores práticas;
4. d)Os utilizadores devem ser informados de que devem ativar a funcionalidade TLS no seu navegador.
6 -O sistema deve impedir reencaminhamentos e reenvios não validados.

Artigo 42.º — Segurança aplicacional

Histórico de Alterações