O que acontece dentro do modelo de segurança do Odoo

Agora que a IA consegue automatizar a análise de vulnerabilidades e explorar as fraquezas dos sistemas em grande escala, deixou de haver margem para erro em cibersegurança. 

É mais importante do que nunca garantir que o seu ERP está protegido contra ataques.

O Odoo integrou camadas de segurança diretamente na sua framework central: controlo de acesso nativo baseado em funções, validação de código open-source, recuperação em caso de desastre e muito mais.

Analisámos ao pormenor a infraestrutura técnica do Odoo e a forma como mantém o seu sistema seguro de origem.

Os 4 pilares da segurança do Odoo

Uma instalação Odoo de nível empresarial não depende de uma única firewall. A infraestrutura de segurança do Odoo assenta em várias camadas técnicas que funcionam em conjunto:

• Controlo de acesso: uma combinação do RBAC nativo do Odoo com a gestão centralizada de identidades (SSO/MFA)
• Implementação e alojamento: a infraestrutura do Odoo é regida por políticas rigorosas de tratamento de dados e de segurança na cloud; os utilizadores podem automatizar pipelines de testes para analisar todo o código personalizado antes da implementação
• Recuperação em caso de desastre: point-in-time recovery (PITR) com PostgreSQL para evitar a perda de dados.
• Conformidade: o Odoo pode ser auditado segundo as normas internacionais de qualidade ISAE e ISO. É também certificado Odoo Star Level 1, com uma Política de Divulgação Responsável ativa.

A segurança do Odoo assenta no princípio do acesso mínimo

Para manter o seu sistema seguro, é preciso controlar exatamente quem e o que pode interagir com ele.

A arquitetura do Odoo foi concebida para que os utilizadores só acedam aos dados necessários às suas tarefas, com base no princípio do menor privilégio. 

O Odoo carrega automaticamente mais de 150 grupos de direitos de acesso consoante a função do utilizador, funcionando em três camadas:

• Funções e grupos: definem que módulos um utilizador pode utilizar, limitando os dados nas vistas e as ações possíveis
• Direitos de acesso: utilizam mais de 4000 permissões Create, Read, Update, Delete (CRUD) para regular o acesso a modelos específicos da base de dados
• Regras de registo: aplicam mais de 400 regras de registo nativas para gerir o acesso a conjuntos de dados individuais; por exemplo, executando a filtragem padrão da base de dados para que um utilizador só possa ver os seus próprios clientes.

Para a gestão centralizada de identidades, o Odoo oferece contas diretas, mas também integra com muitos fornecedores de Single Sign-On (SSO):

• Entra ID (Azure AD)
• Active Directory
• Google
• Keycloak
• ou qualquer fornecedor OAuth2. 

Pode também ativar a Autenticação de Dois Fatores (2F​A) nativamente no Odoo ou aplicá-la através do seu fornecedor de identidade.

O Odoo usa encriptação para manter os seus dados ilegíveis 

A criptografia garante que, mesmo que os dados sejam intercetados, continuam ilegíveis. O Odoo assegura que o seu sistema beneficia de encriptação de origem:

• Dados em trânsito: todo o acesso web ao Odoo e a comunicação por API são protegidos por HTTPS com TLS 1.3. Para sistemas externos de clientes, redes privadas com túneis IPsec ou OpenVPN garantem que as interfaces API nunca tocam na internet pública
• 
  
• Dados em repouso: os campos críticos da base de dados são protegidos com técnicas de encriptação do PostgreSQL, sobrepostas à Full Disk Encryption (FDE) ao nível do servidor
• 
  
• Anonimização de dados: a aplicação nativa Data Cleaning do Odoo é usada para identificar dados pessoais e substituí-los por valores aleatórios ou máscaras. Isto garante a conformidade com o RGPD quando os programadores precisam de dados realistas em ambientes de staging e de teste.

Implementações do Odoo sem risco com um pipeline CI/CD

Para manter o seu sistema Odoo estável, o código personalizado nunca deve ser enviado diretamente para uma base de dados em produção. Em vez disso, recorremos a pipelines de entrega totalmente automatizados para gerir o risco.

Eis como garantimos implementações seguras:

• Ambientes estritamente separados: o código percorre com segurança ambientes isolados de desenvolvimento, staging e produção, através de branching definido e de contentores
• Testes seguros e anonimizados: usamos ambientes de teste isolados com bases de dados anonimizadas. Isto permite-nos reproduzir e corrigir problemas em segurança, sem expor os seus dados sensíveis.

Embora o Odoo forneça uma base sólida para estas implementações seguras, podemos alargá-la ainda mais até uma infraestrutura de segurança abrangente e de nível de produção:

Fale sobre os seus processos DevOps no Odoo com os nossos especialistas

O Odoo trata incidentes e recuperação em caso de desastre em tempo real

Quando um servidor falha ou os dados ficam corrompidos, as bases de dados Odoo assentam em processos de recuperação estruturados para manter a continuidade do negócio.

• Write-ahead logging (WAL): ao nível da base de dados, todas as transações PostgreSQL são continuamente registadas em ficheiros WAL
• Backups de base: são gerados regularmente backups completos da base de dados
• Restauro da base de dados: em caso de desastre, o sistema aplica os logs WAL ao último backup completo válido, restaurando a base de dados Odoo para um momento específico no tempo, com perda de dados quase nula.

A base de segurança do Odoo garante a conformidade com o RGPD

Um ERP guarda os seus dados mais sensíveis de clientes e de colaboradores. 

A arquitetura do Odoo suporta nativamente a proteção de dados avançada para o ajudar a comprovar e a manter a conformidade com o Regulamento Geral sobre a Proteção de Dados (RGPD):

• Licitude do tratamento (Art. 5, 6, 7, 13–15): o Odoo implementa e documenta procedimentos de dupla confirmação para vários temas e gere blacklists. Através da sua abordagem de sistema integrado, tem informação imediata sobre a legitimidade do tratamento (por exemplo, o fim de uma adesão) para acionar regras de eliminação
• 
  
• Minimização dos dados e limitação das finalidades (Art. 5): os direitos estão estritamente ligados à finalidade da atividade. O Odoo inclui funções de arquivo automático para anonimizar ou eliminar dados que já não são necessários
• 
  
• Direitos dos titulares dos dados (Art. 15–22): o Odoo reúne os dados pessoais num único módulo central. Isto torna extremamente simples gerar resumos de dados para pedidos de acesso, ou eliminar e anonimizar dados de forma centralizada para cumprir o «direito ao esquecimento»
• 
  
• Prova de conformidade (Art. 24): o Odoo acompanha as alterações aos dados através de registos de auditoria abrangentes, permitindo criar facilmente relatórios de auditoria, ficheiros de log e documentação
• 
  
• Tratamento por terceiros (Art. 28): as opções de alojamento podem ser rigorosamente adaptadas aos requisitos do Regulamento Geral sobre a Proteção de Dados (RGPD), incluindo alojamento fora da cloud pública e com um número mínimo de subcontratantes.