23 DE ABRIL DE 2015 33

6 - Todos os serviços das plataformas eletrónicas devem estar sincronizados com o NTP definido a partir do

UTC, devendo ser utilizadas duas fontes de tempo diferentes, em que uma delas é obrigatoriamente a Hora

Legal Portuguesa.

7 - Em caso de desastre, as plataformas eletrónicas devem disponibilizar meios capazes de continuar as

operações usando sistemas alternativos e assegurar o backup para garantir a integridade e a possibilidade de

recuperação da informação.

8 - A empresa gestora deve especificar na sua política qual o tempo máximo aceitável, na reposição dos

serviços.

Artigo 42.º

Segurança aplicacional

1 - A empresa gestora deve garantir que o sistema se encontra devidamente protegido contra

vulnerabilidades e ataques, impedindo, designadamente:

a) Falhas de injeção, nomeadamente, interrogações SQL (Structured Query Language), LDAP (Lightweight

Directory Access Protocol) ou XPath (XML Path Language), comandos do sistema operativo (SO) e alteração

de argumentos de programa;

b) XSS (Cross-Site Scripting).

2 - O sistema deve assegurar a autenticação forte e a gestão das sessões, o que exige, no mínimo, que:

a) As credenciais sejam sempre protegidas quando armazenadas com recurso a técnicas de controlo da

integridade dos dados (hashing) ou de cifragem dos dados;

b) As credenciais não possam ser adivinhadas nem alteradas através de funções de gestão da conta pouco

sólidas, nomeadamente, através da criação de conta, alteração da senha, recuperação da senha ou

identificadores de sessão frágeis;

c) Os identificadores de sessão e os dados da sessão não se encontrem expostos no localizador uniforme

de recursos (URL);

d) Os identificadores de sessão não sejam vulneráveis a ataques de fixação de sessão;

e) Os identificadores de sessão tenham um tempo-limite de operação, o que assegura que o utilizador sai

do sistema;

f) As senhas, os identificadores de sessão e outras credenciais sejam enviados apenas através do protocolo

TLS (Transport Layer Security).

3 - O sistema deve possuir uma configuração de segurança adequada, o que exige, no mínimo, que:

a) Todos os elementos de software sejam atualizados, na medida do necessário para mitigar eventuais

vulnerabilidades, nomeadamente o SO, o servidor web e o servidor de aplicações, o sistema de gestão de bases

de dados (DBMS), as aplicações, e todas as bibliotecas de códigos;

b) Os serviços e processos desnecessários do SO, servidor web e servidor de aplicações, sejam

desativados, retirados ou não sejam instalados;

c) As senhas da conta por defeito sejam alteradas ou desativadas.

4 - O sistema deve limitar o acesso ao URL com base nos níveis e autorizações de acesso do utilizador,

exigindo-se, no mínimo, que:

a) Se forem utilizados mecanismos de segurança externos, para fins de autenticação e verificação das

autorizações de acesso às páginas, os mesmos devem estar devidamente configurados para cada página;

b) Se for utilizada proteção ao nível dos códigos, a mesma deve existir para cada página pretendida.

5 - O sistema deve utilizar o protocolo TLS (Transport Layer Security) de modo a garantir uma proteção

suficiente, devendo estar criadas todas as medidas que se seguem ou outras de eficácia equivalente:

a) O sistema deve exigir a versão mais atualizada do protocolo HTTPS (Hypertext Transfer Protocol Secure)

para aceder a quaisquer recursos sensíveis utilizando certificados que sejam válidos, não caducados, não