Defesa em profundidade, camada por camada.
Uma visão geral de alto nível de como a plataforma de mensagens da BroadNet está estruturada — da borda da API às interconexões com as operadoras — para que a segurança seja aplicada em todas as camadas, e não adicionada apenas no perímetro. Esta visão geral é propositalmente não confidencial: ela mostra o formato da pilha, não a sua topologia interna.
As camadas, em termos simples.
Aplicações e canais do cliente
As suas aplicações e campanhas se conectam por meio de interfaces documentadas e versionadas. Nenhuma informação de um locatário subsequente é exposta a outro.
Gateway de API e SDK
A borda pública. Tokens de acesso Bearer por conta autenticam cada solicitação à API; limitação de taxa por locatário, listas de permissão de IP e um firewall de aplicações da web (WAF) automatizado ficam à frente da plataforma.
Plataforma de mensagens
Processamento multi-inquilino com isolamento por inquilino, enfileiramento durável e orquestração de entrega. As ações que alteram o estado são registadas em logs de auditoria.
Inteligência de encaminhamento
O encaminhamento baseado no menor custo e na qualidade seleciona um caminho legal e em conformidade com as normas para cada destino, com deteção de rotas alternativas e redefinição do ponto de referência caso uma rota se degrade abaixo do seu objetivo de serviço.
Segurança e firewall
Defesas de nível de telecomunicações — firewall SMS, firewall SS7, proteção de ID do remetente, análise de chamadas instantâneas e abuso de OTP — aplicadas por predefinição às rotas da BroadNet.
Interconexões de operadoras
Mais de 1.000 conexões diretas com operadoras garantem ligações diretas em 86 países, com rotas de parceiros identificadas no restante dos 200+ países alcançados, portanto o tráfego termina em rotas legítimas e contratadas.
Cinco planos defensivos, em profundidade.
As camadas numeradas acima descrevem o caminho que uma mensagem percorre. Esses cinco planos descrevem os controlos que atuam em cada ponto desse caminho — cada um projetado de forma que uma falha num plano seja contida pelo próximo.
Borda e rede
A borda pública encerra o TLS 1.3, absorve abusos volumétricos e valida se uma solicitação está bem formada antes mesmo de chegar à lógica da aplicação. Nada a jusante confia na rede pela qual chegou.
- Limitação de taxa por locatário e por ponto de extremidade com controlos de rajada
- Opções de lista de permissões de IP e TLS mútuo para vinculações SMPP e API
- Firewall de aplicação web (WAF) automatizado que filtra padrões comuns de injeção e abuso
- Absorção de DDoS e eliminação de anomalias no nível da conexão na borda
Aplicação e identidade
Cada solicitação é autenticada e autorizada individualmente. Tokens de acesso Bearer por conta estabelecem a identidade; funções com âmbito definem o que essa identidade pode fazer; a multilocação é imposta por código, não por convenção.
- Tokens de acesso Bearer por conta para a API; tokens de curta duração para sessões interativas
- Controlo de acesso baseado em funções com âmbitos padrão de privilégio mínimo
- Isolamento por inquilino, para que nenhum inquilino possa aceder aos dados de outro inquilino
- Webhooks encriptados com TLS para DLR e MO de entrada
Dados e armazenamento
O conteúdo das mensagens, os metadados de entrega e os registos de auditoria são mantidos encriptados em repouso, com um período de retenção que corresponde aos prazos contratuais e regulamentares. As ações que alteram o estado das mensagens são registadas numa pista de auditoria somente para acréscimo.
- Encriptação AES-256 em repouso em armazenamentos primários e backups
- Registo de auditoria somente de acréscimo (append-only) das ações que alteram o estado
- Períodos de retenção de dados alinhados ao contrato e à regulamentação regional
- Cópias de segurança encriptadas e testadas em relação aos objetivos de recuperação definidos
Gestão chave
As chaves são geradas, armazenadas, rotacionadas e descartadas dentro de uma infraestrutura dedicada de gestão de chaves. O código da aplicação contém referências, não o material bruto da chave, e a rotação não requer interrupção do serviço.
- Gestão centralizada de chaves com separação dos segredos da aplicação
- Rotação programada de chaves e revogação imediata em caso de suspeita de comprometimento
- Separação de funções para custódia de chaves e acesso administrativo
- Encriptação de envelope para que as chaves de dados sejam protegidas por chaves mestras
Monitorização e resposta
A observabilidade abrange toda a pilha, em vez de um único ponto de estrangulamento, permitindo a deteção de anomalias perto de onde ocorrem. Um NOC (Centro de Operações de Rede) 24 horas por dia, 7 dias por semana, acopla a deteção a um processo documentado de resposta a incidentes.
- NOC 24 horas por dia, 7 dias por semana, com alertas em toda a borda, plataforma, encaminhamento e interconexões
- Análise de rotas cinzentas, abuso de ID do remetente e abuso de OTP no tráfego em tempo real
- Resposta documentada a incidentes com classes de gravidade e escalonamento nomeado
- Análise de causa raiz (RCA) e relatório de motivo da interrupção (RFO) após incidentes relevantes
Controlos, mapeados para padrões.
Um mapeamento representativo de cada camada para as famílias de controlo nas normas ISO/IEC 27001, SOC 2 e ISO 22301. É meramente ilustrativo e não constitui a declaração completa de aplicabilidade. O conjunto de controlos auditado é partilhado sob acordo de confidencialidade.
| Layer | Controlos representativos | Norma de referência |
|---|---|---|
| Borda e rede | TLS 1.3, WAF, limitação de taxa por locatário, lista de permissões de IP, absorção de DDoS | ISO 27001 A.8 · SOC 2 CC6.6 |
| Aplicação e identidade | Autenticação da API por token Bearer, RBAC de privilégio mínimo, isolamento por locatário | ISO 27001 A.8 / A.9 · SOC 2 CC6.1–CC6.3 |
| Dados e armazenamento | Encriptação AES-256 em repouso, logs de auditoria somente para anexação, janelas de retenção, backups encriptados | ISO 27001 A.8 · SOC 2 CC6.1 / C1.1 |
| Gestão de chaves | KMS centralizado, rotação programada, revogação, segregação de funções | ISO 27001 A.8.24 · SOC 2 CC6.1 |
| Monitorização e resposta | NOC 24 horas por dia, 7 dias por semana, telemetria entre camadas, IR documentado, RCA/RFO | ISO 27001 A.5.24–A.5.28 · SOC 2 CC7.2–CC7.4 |
| Continuity | Cópias de segurança, objetivos de recuperação testados, gestão de continuidade de negócios | ISO 22301 · SOC 2 A1.2 |
As normas mapeadas fazem referência à ISO/IEC 27001:2022 Anexo A, aos Critérios de Serviços de Confiança SOC 2 e à ISO 22301. Consulte Conformidade para a lista de certificação e Centro de Confiança Para solicitar provas.
Encriptação e gestão de chaves.
A encriptação só é tão forte quanto a forma como as suas chaves são geridas. Os dados são protegidos em trânsito e em repouso, e as chaves que os protegem residem em infraestrutura dedicada — separada do código da aplicação e dos próprios dados.
Em trânsito
TLS 1.3 em todas as interfaces externas — API, SMPP e webhooks — com conjuntos de cifras modernos e opções de fixação de certificado para conexões corporativas.
Em repouso
Encriptação AES-256 em todos os armazenamentos primários e backups. O conteúdo das mensagens e os metadados de entrega incluem janelas de retenção alinhadas ao contrato e à regulamentação regional.
Ciclo de vida das chaves
Gestão centralizada de chaves com rotação programada, revogação imediata, segregação de funções e encriptação de envelope, de forma que as próprias chaves de dados sejam protegidas por chaves mestras.
Modelo de ameaças e defesa em profundidade.
A defesa em profundidade significa que nenhum controlo isolado é suficiente por si só. Para cada objetivo realista de um atacante, mais de uma aeronave precisa falhar antes que haja impacto.
Roubo de credenciais ou chave API exposta
Âmbitos de privilégio mínimo limitam o raio de impacto; tokens de curta duração e revogação imediata reduzem a janela de oportunidade; o isolamento por locatário impede a movimentação lateral para outro locatário.
Injeção de rota cinza e falsificação de ID do remetente
O firewall de SMS e a proteção de ID do remetente classificam e descartam o tráfego ilegítimo antes que ele seja finalizado; as interconexões diretas com a operadora garantem que o tráfego legítimo chegue às rotas contratadas.
Abuso OTP / inflação artificial do tráfego
A análise comportamental e a deteção de abuso de flash call /OTP contêm padrões inflados na velocidade da linha, antes que possam ser monetizados.
Ataques na camada de sinalização (SS7)
O firewall SS7 inspeciona e filtra a sinalização para se defender contra rastreio de localização, interceção e tentativas de fraude na camada de rede.
Exposição de dados em trânsito ou em repouso
O TLS 1.3 protege os dados em trânsito e o AES-256 protege os dados em repouso; as chaves ficam armazenadas numa infraestrutura dedicada de gestão de chaves, separada dos dados que protegem.
Uso indevido por pessoas internas ou administrativas
O controlo de acesso baseado em funções, a separação de responsabilidades para a custódia de chaves e o registo de auditoria somente para acréscimo tornam as ações privilegiadas passíveis de responsabilização e revisão.
Monitorização em todas as camadas
A observabilidade e a monitorização 24 horas por dia, 7 dias por semana, abrangem toda a pilha, em vez de ficarem concentrados num único ponto crítico, permitindo a deteção de anomalias perto de onde elas ocorrem. As ferramentas específicas e os limites de alerta são partilhados com os avaliadores sob acordo de confidencialidade.
Encriptação completa
O TLS 1.3 protege os dados em trânsito e o AES-256 protege os dados em repouso em todas as camadas. Detalhes específicos sobre gestão de chaves e controlos estão disponíveis mediante acordo de confidencialidade — consulte as certificações para obter informações sobre o âmbito auditado.
Detalhes de controlo certificados, localização dos data centers, objetivos exatos de recuperação e topologia interna são cobertos pelo âmbito auditado da BroadNet e partilhados sob acordo de confidencialidade. Consulte ISO/IEC 27001 e ISO 22301.
Onde isso se conecta.
Esta visão geral representa a perspetiva arquitetónica. As evidências, certificados e compromissos operacionais que a sustentam estão disponíveis na Central de Confiança e nas páginas de Conformidade e Segurança.
Perguntas frequentes.
Esta é a arquitetura de segurança completa?
Não. Esta página é uma visão geral deliberadamente não confidencial: ela mostra o formato da pilha e os controlos em cada camada, não a topologia interna, a localização dos data centers ou os objetivos exatos de recuperação. Detalhes de controlo certificados são partilhados com avaliadores sob acordo de confidencialidade e cobertos pelo âmbito auditado da BroadNet.
Segundo quais normas a plataforma é certificada?
A BroadNet possui as certificações ISO/IEC 27001 (segurança da informação), ISO 9001 (qualidade) e ISO 22301 (continuidade de negócios). A tabela de mapeamento de controlos nesta página relaciona controlos representativos às famílias de controlos ISO 27001, SOC 2 e ISO 22301, permitindo que os avaliadores visualizem o alinhamento de cada camada.
Como a encriptação é tratada em trânsito e em repouso?
O TLS 1.3 protege os dados em trânsito e o AES-256 protege os dados em repouso, tanto nos armazenamentos primários quanto nos backups. As chaves são geradas, armazenadas, rotacionadas e descartadas numa infraestrutura dedicada de gestão de chaves, utilizando encriptação de envelope, de forma que as próprias chaves de dados sejam protegidas por chaves mestras.
Você aplica os seus próprios firewalls SMS e SS7 ao tráfego BroadNet?
Sim. As defesas de nível de telecomunicações — firewall SMS, firewall SS7, proteção de ID do remetente e análise de abuso de OTP — são aplicadas às rotas da BroadNet por predefinição, e não são oferecidas apenas como um complemento para redes de terceiros.
Como faço para solicitar os detalhes do controlo auditado?
Os detalhes de controlo nomeados, a localização dos data centers, os objetivos exatos de recuperação e a topologia interna são partilhados com avaliadores qualificados sob acordo de confidencialidade. Comece pela Central de Confiança ou pela página de Conformidade, ou entre em contacto com a equipa de segurança para solicitar o pacote de documentação.