Encryption & Key Management

Art. 46 LGPD + Guia de Segurança da Informação para ATPP (ANPD, 2021).

Camadas

1. Em trânsito

• TLS 1.3 em toda comunicação (cliente ↔ servidor, serviço ↔ serviço)
• HSTS habilitado (max-age=31536000; includeSubDomains; preload)
• Certificate pinning em apps mobile (React Native — react-native-ssl-pinning ou equivalente)
• mTLS para comunicação entre serviços internos quando viável

2. Em repouso

• TDE (Transparent Data Encryption) no PostgreSQL — habilitado pelo provider (AWS RDS, GCP Cloud SQL)
• Volume encryption (EBS, persistent disks) — geralmente padrão hoje
• Backups criptografados — mesma chave do volume, ou KMS dedicado
• Storage de arquivos (S3, GCS): server-side encryption (SSE-KMS preferível a SSE-S3)