Seguro por arquitetura. Honesto sobre o que prova.
O Lastrium roda dentro do seu perímetro, nunca toca nas suas chaves e nada sai do seu ambiente. Ele entrega evidência de postura — não certificação — pronta para o seu auditor.
Seguro por arquitetura, não por promessa.
O modo como o Lastrium roda remove a maior parte da superfície de risco de fornecedor que preocupa uma instituição regulada — por design, antes de qualquer política.
Roda no seu perímetro
Instalado no seu próprio ambiente ou CI. Sistemas de terceiros executados com os recursos da própria instituição ficam sob os seus controles — o Lastrium se encaixa no seu perímetro auditável, não como caixa-preta externa.
CMN 5.274 · sistemas de terceirosNão acessa suas chaves
A varredura nunca lê nem exporta chaves privadas, atendendo diretamente à vedação de acesso de terceiros a chaves privadas da BCB 538 e da CMN 5.274.
BCB 538 · vedação de acesso a chavesNada sai do ambiente
Código-fonte, achados e atestações permanecem no seu perímetro. Opera offline e em air-gap — sem dado cruzando fronteiras, sem a fricção de contratação no exterior.
offline · air-gapSem base agregada
Nada é centralizado em nuvem nossa. Não existe um repositório com o mapa de fraquezas de vários clientes juntos. A sua exposição nunca vira a nossa.
sem multi-tenant centralizadoEvidência de postura. A conformidade é sua.
O Lastrium não certifica conformidade nem assume a sua responsabilidade regulatória — ela é, por norma, da instituição. O que ele entrega é evidência defensável: reproduzível, assinada e datada, na linguagem que o seu auditor aceita.
Prova, não planilha. Postura, não garantia. Ser preciso sobre essa linha é o que protege os dois lados.
Ligado à norma brasileira — e honesto sobre o escopo.
Cada achado é vinculado ao dispositivo exato que cumpre ou viola, revisado por advogado e versionado conforme a norma muda. O Lastrium avalia o eixo criptográfico das resoluções — não toda a política de segurança cibernética. Ser exato sobre essa fronteira é o que torna a evidência confiável.
Mecanismos de criptografia. Cada algoritmo classificado por exposição quântica; migração priorizada (Mosca / HNDL).
art. 3º, §2º, IICustódia de chaves. Postura de guarda da chave privada (texto claro / legível por todos / HSM) e chaves comprometidas — detectadas, sem nunca ler o valor.
art. 3º, §12, II e IIICertificados. Revogados e vencidos detectados do inventário (offline), confrontados com a data de avaliação.
art. 3º, §12, IV · art. 2ºProteção de dados pessoais. Medida técnica reavaliada frente ao horizonte quântico.
LGPD · art. 46Deveres organizacionais. Política aprovada, resposta a incidentes, acessos/MFA, pentest anual, backups, rede, terceiros/nuvem, isolamento Pix/STR.
art. 3º / 3º-A (organizacionais)Respondido pela instituição. Um questionário jurista-editável liga cada resposta ao dispositivo exato.
ligado ao incisoSelado, não verificado por nós. A declaração é selada na atestação assinada — à prova de adulteração, datada, atribuída. Estruturamos; não atestamos a veracidade.
declaração seladaA veracidade de uma declaração. O eixo de governança é autodeclarado — nós selamos, não auditamos se é verdade.
selamos, não auditamosRevogação em tempo real. Sem OCSP/CRL ao vivo — lemos o estado do certificado do inventário, totalmente offline.
sem OCSP/CRL ao vivoCertificação legal. Evidência de postura, não certificado. A responsabilidade regulatória continua da instituição.
evidência ≠ certificaçãoInterpretação além do literal. Vínculos que a norma não afirma saem marcados “a confirmar” — nunca como exigência.
“a confirmar” quando interpretativoCada item carrega a sua camada de evidência e o seu status jurídico: confirmado (literal no texto) ou a confirmar (interpretativo, sujeito a validação jurídica). Nunca apresentamos uma interpretação — ou uma declaração — como fato verificado.
Sobre padrões abertos e auditáveis.
CBOM em CycloneDX
Formato aberto e padronizado (ECMA-424) para o inventário criptográfico — interoperável, sem aprisionamento proprietário.
Classificação alinhada ao NIST PQC
Estado-alvo pós-quântico fundamentado nos padrões do NIST (FIPS 203/204/205 — ML-KEM, ML-DSA, SLH-DSA).
Atestação assinada e reproduzível
Assinatura ed25519 / Cosign; a mesma entrada sempre produz a mesma evidência — verificável de forma independente.
Práticas de segurança do produto.
Desenvolvimento seguro
Revisão de código obrigatória, análise estática e varredura de dependências na esteira.
Cadeia de suprimento
Binários assinados e SBOM do próprio produto publicado — praticamos a rastreabilidade criptográfica que vendemos.
Segredos
Em cofre gerenciado, nunca em código.
Acesso
MFA e menor privilégio nos sistemas e na esteira de build.
Verificação independente
Pentest independente do produto, documentado, a cada versão relevante.
Pronto para a sua avaliação de fornecedor.
Disponibilizamos, sob solicitação, o pacote que a sua área de risco precisa para nos avaliar:
Whitepaper de arquitetura
O modelo de execução no perímetro, o "nada sai", o "não toca em chave".
Security overview
Os controles resumidos em linguagem de CISO.
Relatório de pentest
Teste independente do produto, último ciclo.
Enquadramento LGPD + DPA
Papéis de dado e um acordo de tratamento pronto.
Minuta de contrato
Direito de auditoria, plano de saída, transparência de subcontratados.
Amostra de mapeamento
Uma amostra do mapeamento normativo e um exemplo de atestação assinada.
Pronto para a sua due diligence.
Comece com um diagnóstico de 30 minutos — e peça o pacote de avaliação de fornecedor.