Capítulo 75 — Referências Técnicas e Normativas
Este capítulo consolida o conjunto completo de normas, padrões, especificações técnicas, frameworks, legislações e referências bibliográficas que fundamentam as decisões arquiteturais, de segurança, de processo e de gove…
75.1 Objetivo do Capítulo
Este capítulo consolida o conjunto completo de normas, padrões, especificações técnicas, frameworks, legislações e referências bibliográficas que fundamentam as decisões arquiteturais, de segurança, de processo e de governança da Plataforma de Relacionamento Digital com o Cidadão.
O capítulo serve a três propósitos simultâneos: (1) rastrear cada decisão arquitetural relevante ao seu fundamento normativo ou de mercado; (2) demonstrar à banca avaliadora da PRODEMGE que as escolhas técnicas não são arbitrárias, mas sustentadas por padrões reconhecidos; e (3) fornecer referência para a equipe técnica e para a PRODEMGE durante toda a vigência da parceria.
75.2 Contexto e Motivação
Plataformas de missão crítica para o setor público exigem que toda decisão técnica seja rastreável a fundamentos reconhecidos — normativos, regulatórios ou de boas práticas da indústria. A ausência de rastreabilidade normativa introduz dois riscos:
Risco de auditoria: decisões sem fundamento são difíceis de defender em auditorias técnicas, jurídicas ou de conformidade. A documentação de referências elimina ambiguidade sobre o porquê de cada escolha.
Risco de evolução: quando a plataforma evolui, a rastreabilidade às normas de origem permite avaliar se uma mudança técnica está em conformidade com o padrão que motivou a decisão original.
Este capítulo organiza as referências em seis grupos: (1) legislação e regulação brasileira; (2) normas técnicas ABNT/ISO/IEC; (3) frameworks e metodologias de arquitetura; (4) padrões e especificações de protocolos; (5) especificações de segurança; e (6) padrões e guias de desenvolvimento.
75.3 Escopo das Referências
As referências aqui consolidadas cobrem os seguintes domínios técnicos da plataforma:
- Proteção de dados pessoais e privacidade
- Segurança da informação e gestão de identidade
- Arquitetura de software e sistemas distribuídos
- Interoperabilidade e troca de dados
- Gestão de serviços de TI e continuidade de negócio
- Acessibilidade digital
- Sustentabilidade tecnológica
- Gestão de processos e governança
- Qualidade de software e entrega contínua
- Gestão documental
75.4 Legislação e Regulação Brasileira
75.4.1 Lei Geral de Proteção de Dados Pessoais — LGPD
Identificação: Lei nº 13.709, de 14 de agosto de 2018.
Ementa: dispõe sobre a proteção de dados pessoais e altera a Lei nº 12.965/2014 (Marco Civil da Internet).
Relevância para a plataforma: a LGPD é requisito arquitetural central. Toda coleta, armazenamento, processamento e compartilhamento de dados pessoais de cidadãos segue os princípios e obrigações estabelecidos pela Lei: finalidade, necessidade, adequação, transparência, segurança, prevenção, não discriminação e responsabilização. A plataforma opera como operadora de dados em relação aos órgãos e entidades participantes (controladores), com obrigações específicas nos termos do art. 39.
Capítulos de implementação: 44 (LGPD e Proteção de Dados Pessoais), 43 (IAM), 45 (Auditoria e Rastreabilidade), 46 (Criptografia).
75.4.2 Marco Civil da Internet
Identificação: Lei nº 12.965, de 23 de abril de 2014.
Ementa: estabelece princípios, garantias, direitos e deveres para o uso da internet no Brasil.
Relevância para a plataforma: fundamenta a neutralidade de rede, a proteção de dados dos usuários, a responsabilidade civil dos provedores de aplicações de internet e os requisitos de guarda de registros de conexão e de acesso a aplicações. A plataforma observa os art. 15 a 17 quanto à guarda de registros de acesso e à responsabilidade sobre conteúdo de terceiros.
Capítulos de implementação: 44, 45.
75.4.3 Lei de Inovação Tecnológica
Identificação: Lei nº 10.973, de 2 de dezembro de 2004, alterada pela Lei nº 13.243/2016 (Marco Legal da Ciência, Tecnologia e Inovação).
Ementa: dispõe sobre incentivos à inovação e à pesquisa científica e tecnológica no ambiente produtivo.
Relevância para a plataforma: fundamenta o modelo jurídico da parceria PRODEMGE–parceira privada, especialmente quanto à titularidade de criações resultantes da parceria, ao licenciamento de tecnologia e à ausência de obrigação de publicação de extrato de oferta tecnológica nos termos do § 1º do art. 6º para contratos de transferência de tecnologia.
Capítulos de implementação: 56 (Governança da Parceria), 58 (Gestão de Configuração e Custódia de Código).
75.4.4 Lei de Acesso à Informação — LAI
Identificação: Lei nº 12.527, de 18 de novembro de 2011.
Ementa: regula o acesso a informações previsto na Constituição Federal.
Relevância para a plataforma: a plataforma hospeda dados e registros de órgãos públicos sujeitos à LAI. Os mecanismos de auditoria, rastreabilidade e exportação de dados devem ser compatíveis com as obrigações de transparência ativa e passiva dos órgãos.
Capítulos de implementação: 45, 20 (ECM/GED), 23 (Analytics e Data Lake).
75.4.5 Decreto nº 10.046/2019 — Interoperabilidade de Dados
Identificação: Decreto nº 10.046, de 9 de outubro de 2019.
Ementa: dispõe sobre a governança no compartilhamento de dados no âmbito da administração pública federal e institui o Cadastro Base do Cidadão e o Comitê Central de Governança de Dados.
Relevância para a plataforma: referência normativa para os requisitos de interoperabilidade com sistemas governamentais (Bloco 5, Anexo III). A plataforma adota padrões de compartilhamento de dados compatíveis com as diretrizes do Decreto, incluindo finalidade, minimização e segurança nas trocas entre sistemas.
Capítulos de implementação: 14 (Arquitetura de APIs e Integrações), 17 (Segurança e Identidade).
75.4.6 e-PING — Padrões de Interoperabilidade de Governo Eletrônico
Identificação: Padrões de Interoperabilidade de Governo Eletrônico, mantidos pela Secretaria de Governo Digital (SGD/MGI).
Relevância para a plataforma: define os padrões tecnológicos adotados pela administração pública federal para interoperabilidade entre sistemas. A plataforma adota os padrões e-PING onde aplicáveis às integrações com o ecossistema do Governo de Minas Gerais: protocolos HTTP/HTTPS, formatos JSON e XML, autenticação OAuth 2.0/OIDC e uso da infraestrutura MG API como gateway estadual.
Capítulos de implementação: 14, 43.
75.4.7 e-ARQ Brasil
Identificação: Modelo de Requisitos para Sistemas Informatizados de Gestão Arquivística de Documentos, publicado pelo Arquivo Nacional.
Relevância para a plataforma: referência para os requisitos de gestão documental (Bloco 3, Anexo III, item 3.6). A plataforma observa os requisitos funcionais do e-ARQ Brasil para controle de versões de documentos, metadados, temporalidade e destinação, rastreabilidade de ações sobre documentos e integração com sistemas de arquivo.
Capítulos de implementação: 20 (ECM/GED e Gestão Documental), 45.
75.4.8 Lei de Acessibilidade
Identificação: Lei nº 13.146, de 6 de julho de 2015 (Lei Brasileira de Inclusão da Pessoa com Deficiência — Estatuto da Pessoa com Deficiência), art. 63.
Relevância para a plataforma: os portais e aplicativos governamentais devem ser acessíveis às pessoas com deficiência. A plataforma implementa acessibilidade digital nos canais web e mobile conforme os requisitos da Lei e os padrões WCAG 2.1 nível AA.
Capítulos de implementação: 25 (Portal Web), 26 (Aplicativo Mobile), 32 (Frontend Web React), 33 (Mobile React Native).
75.5 Normas Técnicas ABNT / ISO / IEC
75.5.1 ABNT NBR ISO/IEC 27001 — Sistemas de Gestão de Segurança da Informação
Identificação: ABNT NBR ISO/IEC 27001:2022 — Segurança da Informação, Cybersegurança e Proteção à Privacidade — Sistemas de Gestão de Segurança da Informação — Requisitos.
Relevância para a plataforma: referência normativa central para a arquitetura de segurança da informação. Os controles implementados na plataforma — incluindo política de segurança, controle de acesso, criptografia, segurança física e lógica, operações de segurança, gestão de incidentes, continuidade e conformidade — são mapeados ao Anexo A da ISO/IEC 27001:2022.
Capítulos de implementação: 42 (Arquitetura de Segurança), 43, 44, 45, 46, 47 (Continuidade de Negócio).
75.5.2 ABNT NBR ISO/IEC 27002 — Controles de Segurança da Informação
Identificação: ABNT NBR ISO/IEC 27002:2022 — Segurança da Informação, Cybersegurança e Proteção à Privacidade — Controles de Segurança da Informação.
Relevância para a plataforma: complemento da 27001, fornece diretrizes de implementação para os 93 controles organizados em quatro temas: organizacional, pessoal, físico e tecnológico. Os controles de criptografia (8.24), gerenciamento de chaves (8.24), desenvolvimento seguro (8.25–8.31), segurança de redes (8.20–8.23), monitoramento (8.15–8.16) e proteção de dados (8.11–8.12) são implementados conforme as diretrizes da norma.
Capítulos de implementação: 42, 46, 40 (DevSecOps), 41 (Observabilidade).
75.5.3 ABNT NBR ISO/IEC 27005 — Gestão de Riscos de Segurança da Informação
Identificação: ABNT NBR ISO/IEC 27005:2023 — Segurança da Informação, Cybersegurança e Proteção à Privacidade — Orientação para Gestão de Riscos de Segurança da Informação.
Relevância para a plataforma: metodologia de identificação, análise, avaliação e tratamento de riscos de segurança da informação. O processo de gestão de riscos descrito no Capítulo 60 incorpora a abordagem da ISO/IEC 27005 para riscos de segurança, complementando o framework geral de gestão de riscos da plataforma.
Capítulos de implementação: 60 (Gestão de Riscos), 42.
75.5.4 ABNT NBR ISO/IEC 29100 — Framework de Privacidade
Identificação: ABNT NBR ISO/IEC 29100:2020 — Tecnologia da Informação — Técnicas de Segurança — Framework de Privacidade.
Relevância para a plataforma: fornece o framework conceitual de privacidade — terminologia, atores (titular, controlador, operador), princípios de privacidade e controles de privacidade por design (Privacy by Design). A plataforma implementa Privacy by Design como princípio arquitetural, alinhado tanto à ISO/IEC 29100 quanto à LGPD.
Capítulos de implementação: 44, 17.
75.5.5 ISO/IEC 27017 — Controles de Segurança para Serviços em Nuvem
Identificação: ISO/IEC 27017:2015 — Information technology — Security techniques — Code of practice for information security controls based on ISO/IEC 27002 for cloud services.
Relevância para a plataforma: a operação em infraestrutura de nuvem exige controles adicionais específicos. A ISO/IEC 27017 estende a 27002 para o contexto de cloud, cobrindo responsabilidades compartilhadas, proteção de dados em ambientes virtualizados, portabilidade de dados e gerenciamento de incidentes em serviços cloud. A plataforma mapeia sua arquitetura de responsabilidade compartilhada com o provedor de nuvem conforme este padrão.
Capítulos de implementação: 37 (Infraestrutura e Computação em Nuvem), 42, 47.
75.5.6 ISO/IEC 27018 — Proteção de Dados Pessoais em Nuvem
Identificação: ISO/IEC 27018:2019 — Information technology — Security techniques — Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors.
Relevância para a plataforma: a parceira atua como operadora de dados pessoais em infraestrutura de nuvem, enquanto os órgãos participantes são os controladores. A ISO/IEC 27018 define os controles aplicáveis a esse modelo: consentimento para uso de dados, transparência, minimização, direitos dos titulares e obrigações do operador em nuvem pública.
Capítulos de implementação: 44, 37, 42.
75.5.7 ISO/IEC 25010 — Qualidade de Produto de Software
Identificação: ISO/IEC 25010:2011 (em revisão pela edição 2023) — Systems and software engineering — Systems and software Quality Requirements and Evaluation (SQuaRE) — System and software quality models.
Relevância para a plataforma: define o modelo de qualidade de produto de software em oito características: adequação funcional, eficiência de desempenho, compatibilidade, usabilidade, confiabilidade, segurança, manutenibilidade e portabilidade. Os Requisitos Não Funcionais do Capítulo 74 são estruturados com referência às características da ISO/IEC 25010.
Capítulos de implementação: 74 (Requisitos Não Funcionais), 62 (Indicadores e Métricas de Desempenho).
75.5.8 ISO/IEC 20000-1 — Gestão de Serviços de TI
Identificação: ISO/IEC 20000-1:2018 — Information technology — Service management — Part 1: Service management system requirements.
Relevância para a plataforma: referência para os processos de gestão de serviços de TI — incluindo gestão de incidentes, problemas, mudanças, configuração, disponibilidade, capacidade, continuidade e nível de serviço. Os processos de operação descritos nos Capítulos 51 e 52 são alinhados à estrutura de processos da ISO/IEC 20000-1.
Capítulos de implementação: 51 (Operação e Gestão de Serviços), 52 (Sustentação e Suporte Técnico), 53 (SLA), 59 (Gestão de Mudanças).
75.5.9 ISO/IEC 42010 — Arquitetura de Sistemas e Software
Identificação: ISO/IEC/IEEE 42010:2011 — Systems and software engineering — Architecture description.
Relevância para a plataforma: define os conceitos e a estrutura para descrição de arquitetura de software e sistemas: ponto de vista (viewpoint), visão (view), stakeholder, preocupação (concern) e decisão arquitetural. O Documento Mestre segue os princípios da ISO/IEC/IEEE 42010 na organização das visões arquiteturais e na documentação de decisões por meio de Architecture Decision Records (ADRs).
Capítulos de implementação: 8 (Arquitetura Corporativa), 10 (Arquitetura Funcional), 11 (Arquitetura da Plataforma), e todos os capítulos com seções de ADR.
75.5.10 ISO 22301 — Continuidade de Negócio
Identificação: ISO 22301:2019 — Security and resilience — Business continuity management systems — Requirements.
Relevância para a plataforma: define os requisitos para um sistema de gestão de continuidade de negócio (SGCN), incluindo análise de impacto nos negócios (BIA), estratégia de continuidade, plano de continuidade e exercícios de teste. O Capítulo 47 implementa a abordagem da ISO 22301 para os objetivos de recuperação (RTO e RPO) e para os planos de continuidade e recuperação de desastre.
Capítulos de implementação: 47.
75.5.11 NBR 9241-11 / WCAG 2.1 — Usabilidade e Acessibilidade
Identificação: ABNT NBR ISO 9241-11:2021 — Ergonomia da Interação Humano-Sistema — Parte 11: Usabilidade: definições e conceitos. E Web Content Accessibility Guidelines (WCAG) 2.1, W3C Recommendation, 5 June 2018.
Relevância para a plataforma: a NBR 9241-11 define usabilidade como eficácia, eficiência e satisfação. O WCAG 2.1 organiza os critérios de acessibilidade em quatro princípios (Perceptível, Operável, Compreensível e Robusto — POUR), com três níveis de conformidade (A, AA, AAA). A plataforma implementa conformidade WCAG 2.1 nível AA nos canais web e mobile, atendendo ao art. 63 da Lei Brasileira de Inclusão.
Capítulos de implementação: 25, 26, 32, 33.
75.6 Frameworks e Metodologias de Arquitetura
75.6.1 TOGAF — The Open Group Architecture Framework
Identificação: TOGAF Standard, Version 10. The Open Group, 2022.
Relevância para a plataforma: framework de arquitetura corporativa que estrutura o desenvolvimento e a gestão de arquiteturas de negócio, dados, aplicações e tecnologia (BDAT). O Capítulo 8 (Arquitetura Corporativa) e o Capítulo 9 (Arquitetura de Negócio) adotam a estrutura conceitual TOGAF para organização das visões arquiteturais e das relações entre domínios.
Capítulos de implementação: 8, 9.
75.6.2 arc42 — Template de Documentação de Arquitetura
Identificação: arc42 — Template for Architecture Communication and Documentation, versão 8.2. Gernot Starke & Peter Hruschka.
Relevância para a plataforma: template prático para documentação de arquitetura, organizado em 12 seções: introdução e objetivos, restrições, contexto e escopo, estratégia de solução, blocos de construção, visão em tempo de execução, visão de implantação, conceitos transversais, decisões arquiteturais, qualidade, riscos e glossário. O Documento Mestre incorpora a estrutura arc42 nas seções de contexto, blocos de construção e decisões arquiteturais de cada capítulo técnico.
Capítulos de implementação: todos os capítulos técnicos (Caps. 10–55).
75.6.3 C4 Model — Context, Containers, Components, Code
Identificação: The C4 Model for Visualising Software Architecture. Simon Brown, c4model.com.
Relevância para a plataforma: modelo de diagramação de arquitetura em quatro níveis de abstração: Contexto (C1), Contêineres (C2), Componentes (C3) e Código (C4). Os diagramas descritos no Capítulo 69 seguem a hierarquia C4, permitindo que avaliadores com diferentes níveis técnicos encontrem a abstração adequada para seu contexto.
Capítulos de implementação: 69 (Diagramas de Referência) e seções de Diagramas de todos os capítulos técnicos.
75.6.4 Domain-Driven Design — DDD
Identificação: Evans, Eric. Domain-Driven Design: Tackling Complexity in the Heart of Software. Addison-Wesley, 2003. E Vernon, Vaughn. Implementing Domain-Driven Design. Addison-Wesley, 2013.
Relevância para a plataforma: o DDD fornece a filosofia e os padrões táticos (entidades, objetos de valor, agregados, repositórios, serviços de domínio, eventos de domínio, contextos delimitados) e estratégicos (Context Map, Bounded Contexts, Ubiquitous Language, Anti-Corruption Layer) que governam a divisão da plataforma em microsserviços e a definição de suas fronteiras. Cada microsserviço corresponde a um Bounded Context com linguagem ubíqua própria.
Capítulos de implementação: 12 (Arquitetura de Microsserviços), 14, 31 (Backend Java Spring Boot).
75.6.5 ITIL 4 — Information Technology Infrastructure Library
Identificação: ITIL 4 Foundation. AXELOS, 2019.
Relevância para a plataforma: framework de gestão de serviços de TI que organiza as práticas de gestão em torno do Sistema de Valor do Serviço (SVS) e das quatro dimensões: organizações e pessoas, informação e tecnologia, parceiros e fornecedores, e fluxos de valor e processos. Os processos de operação, sustentação, gestão de incidentes, problemas, mudanças e melhoria contínua descritos nos Capítulos 51 a 59 seguem as práticas ITIL 4.
Capítulos de implementação: 51, 52, 53, 55, 56, 57, 59, 62.
75.6.6 COBIT — Control Objectives for Information and Related Technologies
Identificação: COBIT 2019 Framework: Governance and Management Objectives. ISACA.
Relevância para a plataforma: framework de governança e gestão de TI que fornece os objetivos de controle aplicáveis a organizações que processam informações de alto valor e risco. Os mecanismos de governança da parceria (Capítulo 56), a matriz de responsabilidades (Capítulo 61) e os indicadores de desempenho (Capítulo 62) são estruturados com referência aos domínios Avaliar, Dirigir e Monitorar (EDM) e Alinhar, Planejar e Organizar (APO) do COBIT 2019.
Capítulos de implementação: 56, 57, 61, 62.
75.6.7 Architecture Decision Records — ADR
Identificação: Nygard, Michael. Documenting Architecture Decisions. IEEE Software, novembro 2011. Formato: Michael Nygard ADR Template.
Relevância para a plataforma: os ADRs registram cada decisão arquitetural significativa com contexto, decisão, consequências e alternativas descartadas. O Documento Mestre inclui centenas de ADRs distribuídos nos capítulos técnicos (ADR-001 a ADR-1105+), todos rastreáveis à decisão que os motivou. Os ADRs são instrumentos de rastreabilidade e memória arquitetural ao longo de toda a vigência da parceria.
Capítulos de implementação: todos os capítulos técnicos, especialmente Caps. 12–16, 31–47.
75.6.8 SABSA — Sherwood Applied Business Security Architecture
Identificação: SABSA Framework and Methodology. SABSA Institute.
Relevância para a plataforma: framework de arquitetura de segurança corporativa que organiza a segurança em seis camadas (Negócio, Conceitual, Lógica, Física, Componente e Operacional), garantindo que os controles de segurança sejam derivados dos requisitos de negócio e rastreáveis a objetivos estratégicos. A arquitetura de segurança do Capítulo 42 adota a perspectiva multicamadas do SABSA.
Capítulos de implementação: 42, 17.
75.7 Padrões e Especificações de Protocolos
75.7.1 HTTP/1.1 e HTTP/2
Identificação: RFC 9110 — HTTP Semantics (2022). RFC 9112 — HTTP/1.1 (2022). RFC 9113 — HTTP/2 (2022). IETF.
Relevância para a plataforma: o protocolo HTTP é a base das APIs REST da plataforma. O API Gateway aceita HTTP/1.1 para compatibilidade ampla e HTTP/2 para eficiência em conexões multiplexadas. As semânticas de métodos (GET, POST, PUT, PATCH, DELETE), códigos de status e cabeçalhos padrão seguem a RFC 9110.
Capítulos de implementação: 14.
75.7.2 REST — Representational State Transfer
Identificação: Fielding, Roy. Architectural Styles and the Design of Network-based Software Architectures. Dissertação de doutorado, UC Irvine, 2000.
Relevância para a plataforma: REST é o estilo arquitetural das APIs síncronas da plataforma. As restrições REST — cliente-servidor, sem estado, cacheável, interface uniforme, sistema em camadas — orientam o design de todos os endpoints. O REST Guideline corporativo (ADR-086) codifica as convenções REST para toda a plataforma.
Capítulos de implementação: 14.
75.7.3 OpenAPI Specification 3.x
Identificação: OpenAPI Specification, Versão 3.1.0. OpenAPI Initiative / Linux Foundation, 2021.
Relevância para a plataforma: o OpenAPI 3.x é o padrão de especificação e documentação de contratos de APIs REST da plataforma. Adotado na política Design First (contrato antes da implementação) para APIs de canal e públicas. Os contratos OpenAPI são fonte de verdade, usados para geração de código, testes de contrato e documentação do portal de APIs. Os contratos de referência são descritos no Capítulo 71.
Capítulos de implementação: 14, 71 (Contratos REST e OpenAPI).
75.7.4 AsyncAPI 2.x
Identificação: AsyncAPI Specification, Versão 2.6.0. AsyncAPI Initiative, 2023.
Relevância para a plataforma: o AsyncAPI 2.x é o padrão de especificação de contratos de mensageria assíncrona. Para cada exchange e fila do RabbitMQ, existe um contrato AsyncAPI que descreve o canal, a operação (publish/subscribe) e o schema da mensagem. Os contratos AsyncAPI são listados no Capítulo 72.
Capítulos de implementação: 13 (Arquitetura de Mensageria e RabbitMQ), 72 (Eventos e Tópicos de Mensageria).
75.7.5 AMQP 0-9-1 — Advanced Message Queuing Protocol
Identificação: AMQP 0-9-1 Complete Reference Guide. RabbitMQ / OASIS, 2008.
Relevância para a plataforma: protocolo de mensageria utilizado pelo RabbitMQ para comunicação assíncrona entre microsserviços. A plataforma utiliza exchanges do tipo direct, fanout e topic, com routing keys e bindings para roteamento de mensagens entre os 24 serviços de domínio.
Capítulos de implementação: 13.
75.7.6 OAuth 2.0
Identificação: RFC 6749 — The OAuth 2.0 Authorization Framework. IETF, 2012. RFC 7636 — PKCE. RFC 8693 — Token Exchange. RFC 9068 — JWT Profile for Access Tokens.
Relevância para a plataforma: OAuth 2.0 é o framework de autorização adotado pelo IAM da plataforma. O fluxo Authorization Code com PKCE é obrigatório para clientes públicos (SPA, mobile). O fluxo Client Credentials é utilizado para autenticação service-to-service. Tokens JWT seguem o perfil RFC 9068.
Capítulos de implementação: 43, 14, 17.
75.7.7 OpenID Connect 1.0
Identificação: OpenID Connect Core 1.0. OpenID Foundation, 2014.
Relevância para a plataforma: camada de identidade sobre OAuth 2.0 que permite autenticação federada. Utilizada para integração com GOV.BR (provedor de identidade do cidadão) e como protocolo de autenticação do IAM próprio. O fluxo OIDC permite que a plataforma verifique a identidade do usuário sem armazenar suas credenciais.
Capítulos de implementação: 43, 14, 17.
75.7.8 JWT — JSON Web Token
Identificação: RFC 7519 — JSON Web Token. IETF, 2015. RFC 7515 — JSON Web Signature (JWS). RFC 7516 — JSON Web Encryption (JWE). RFC 7517 — JSON Web Key (JWK).
Relevância para a plataforma: formato de token de acesso e identidade. Tokens JWT assinados com RS256 carregam as claims de identidade (sub, tenant_id, roles, permissions, scopes) e são validados pelo API Gateway e pelos serviços de domínio. Tokens contendo dados sensíveis utilizam JWE para criptografia adicional.
Capítulos de implementação: 43, 46.
75.7.9 TLS 1.3 — Transport Layer Security
Identificação: RFC 8446 — The Transport Layer Security (TLS) Protocol Version 1.3. IETF, 2018.
Relevância para a plataforma: toda comunicação de rede — entre o cliente e a plataforma, entre serviços internos e entre a plataforma e sistemas externos — ocorre sobre TLS 1.3. Versões anteriores (TLS 1.0, 1.1) são desabilitadas. O uso de TLS 1.3 garante forward secrecy, criptografia autenticada e handshake mais eficiente.
Capítulos de implementação: 42, 46, 14.
75.7.10 JSON Schema
Identificação: JSON Schema: A Media Type for Describing JSON Documents. Draft 2020-12. JSON Schema Organization.
Relevância para a plataforma: utilizado para validação de payloads de requisição e resposta nas APIs REST e nos schemas de mensagens AsyncAPI. Schemas são versionados junto com os contratos de API e validados no pipeline CI/CD.
Capítulos de implementação: 14, 71, 72.
75.7.11 RFC 9457 — Problem Details for HTTP APIs
Identificação: RFC 9457 — Problem Details for HTTP APIs. IETF, 2023.
Relevância para a plataforma: padrão para representação de respostas de erro HTTP em APIs REST. A plataforma adota Problem Details como formato único para todos os erros — com campos type, title, status, detail e instance — em vez de formatos de erro proprietários. Isso facilita o tratamento de erros por clientes e sistemas consumidores.
Capítulos de implementação: 14.
75.7.12 WebSocket — RFC 6455
Identificação: RFC 6455 — The WebSocket Protocol. IETF, 2011.
Relevância para a plataforma: protocolo de comunicação bidirecional em tempo real utilizado pelo canal de atendimento para notificações em tempo real e para streaming de respostas de IA no portal web (alternativa ao SSE em contextos que exigem bidirecionalidade). A escolha entre WebSocket e SSE para streaming de IA é documentada em ADR-107.
Capítulos de implementação: 21 (Comunicação Omnichannel), 14, 16 (Arquitetura de IA, RAG e Automação).
75.7.13 Server-Sent Events — SSE
Identificação: HTML Living Standard — Server-sent events. WHATWG. EventSource API.
Relevância para a plataforma: protocolo de comunicação servidor-para-cliente sobre HTTP, utilizado para streaming de respostas de IA no copiloto e no assistente. SSE é mais simples que WebSocket para cenários unidirecionais e tem melhor compatibilidade com proxies HTTP.
Capítulos de implementação: 14, 16.
75.8 Especificações de Segurança
75.8.1 OWASP Top 10
Identificação: OWASP Top 10:2021 — Top 10 Web Application Security Risks. Open Web Application Security Project.
Relevância para a plataforma: lista das dez categorias de risco mais críticas para aplicações web. A plataforma endereça sistematicamente cada categoria: controle de acesso quebrado (A01), falhas criptográficas (A02), injeção (A03), design inseguro (A04), configuração insegura (A05), componentes vulneráveis (A06), falhas de autenticação (A07), integridade de software e dados (A08), falhas de logging e monitoramento (A09), e SSRF (A10). O DevSecOps (Capítulo 40) inclui verificação do OWASP Top 10 no pipeline CI/CD via DAST.
Capítulos de implementação: 40, 42.
75.8.2 OWASP ASVS — Application Security Verification Standard
Identificação: OWASP ASVS 4.0.3 — Application Security Verification Standard. OWASP, 2021.
Relevância para a plataforma: framework de verificação de segurança de aplicações, com 286 requisitos organizados em 14 capítulos e três níveis de profundidade (L1, L2, L3). A plataforma implementa conformidade ASVS Nível 2 como padrão, com Nível 3 nos componentes de autenticação, autorização e proteção de dados.
Capítulos de implementação: 42, 43, 44, 46.
75.8.3 OWASP Mobile Application Security Verification Standard — MASVS
Identificação: OWASP MASVS v2.0.0. OWASP, 2023.
Relevância para a plataforma: padrão de verificação de segurança específico para aplicativos móveis, cobrindo armazenamento seguro, criptografia, autenticação, comunicação em rede e código resiliente. O aplicativo React Native implementa os controles MASVS para proteção de dados armazenados localmente, uso de keychain/keystore e prevenção de engenharia reversa.
Capítulos de implementação: 33, 26, 42.
75.8.4 OWASP API Security Top 10
Identificação: OWASP API Security Top 10 — 2023 Edition. OWASP.
Relevância para a plataforma: identificação dos riscos mais críticos para APIs, incluindo autorização a nível de objeto quebrada (BOLA), autenticação quebrada, autorização a nível de propriedade de objeto quebrada (BOPLA), consumo sem restrição de recursos, entre outros. O design do API Gateway e dos serviços de domínio incorpora mitigações para todos os dez riscos da lista.
Capítulos de implementação: 14, 42, 43.
75.8.5 NIST SP 800-63 — Digital Identity Guidelines
Identificação: NIST Special Publication 800-63B — Digital Identity Guidelines: Authentication and Lifecycle Management. NIST, 2017 (com revisões).
Relevância para a plataforma: referência para os níveis de garantia de autenticação (AAL1, AAL2, AAL3). A plataforma implementa AAL2 como padrão para acesso a serviços sensíveis (autenticação multifator obrigatória) e AAL1 para acesso a serviços públicos. A integração com GOV.BR segue os níveis de confiança definidos pelo Decreto nº 10.900/2021, que correspondem aos AALs do NIST SP 800-63B.
Capítulos de implementação: 43, 17.
75.8.6 NIST SP 800-175B — Guideline for Using Cryptographic Standards
Identificação: NIST Special Publication 800-175B Revision 1 — Guideline for Using Cryptographic Standards in the Federal Government. NIST, 2020.
Relevância para a plataforma: referência para a escolha de algoritmos criptográficos aprovados: AES-256-GCM para criptografia simétrica, RSA-2048/4096 ou ECDSA P-256 para criptografia assimétrica, SHA-256/SHA-384 para hashing, PBKDF2/bcrypt/Argon2 para derivação de senhas, e TLS 1.3 para comunicação segura. O Capítulo 46 documenta a implementação de cada algoritmo.
Capítulos de implementação: 46.
75.8.7 CVE / NVD — Common Vulnerabilities and Exposures
Identificação: CVE Program. MITRE Corporation / CISA. National Vulnerability Database (NVD). NIST.
Relevância para a plataforma: o SCA (Software Composition Analysis) no pipeline DevSecOps verifica automaticamente todos os componentes de terceiros contra o banco de dados CVE/NVD. Vulnerabilidades identificadas são classificadas por severidade CVSS e tratadas conforme a política de gestão de vulnerabilidades documentada no Capítulo 42.
Capítulos de implementação: 40, 42.
75.8.8 SBOM — Software Bill of Materials
Identificação: NTIA Minimum Elements for a Software Bill of Materials. NTIA, 2021. CycloneDX 1.4 / SPDX 2.3 — formatos de SBOM.
Relevância para a plataforma: o pipeline DevSecOps gera automaticamente o SBOM de cada build, listando todos os componentes de software de terceiros (bibliotecas, frameworks, dependências transitivas) com suas versões, licenças e identificadores CVE. O SBOM é armazenado junto com cada release e disponibilizado à PRODEMGE para auditoria de componentes.
Capítulos de implementação: 40, 58 (Gestão de Configuração e Custódia de Código).
75.9 Padrões e Guias de Desenvolvimento
75.9.1 OpenTelemetry
Identificação: OpenTelemetry Specification, versão 1.x. CNCF (Cloud Native Computing Foundation).
Relevância para a plataforma: padrão aberto para coleta, processamento e exportação de dados de observabilidade: traces distribuídos, métricas e logs estruturados. A plataforma implementa OpenTelemetry em todos os serviços de domínio, garantindo rastreabilidade ponta a ponta das requisições com correlationId e traceId propagados por toda a cadeia de chamadas.
Capítulos de implementação: 41 (Observabilidade e Monitoramento).
75.9.2 Prometheus — Métricas
Identificação: Prometheus Data Model e Query Language (PromQL). Prometheus Authors / CNCF.
Relevância para a plataforma: sistema de coleta e armazenamento de métricas adotado na plataforma. Cada serviço exporta métricas no formato Prometheus (counters, gauges, histograms, summaries). O modelo de métricas RED (Rate, Errors, Duration) é implementado por serviço e por endpoint.
Capítulos de implementação: 41.
75.9.3 Kubernetes — OCI e CRI
Identificação: Kubernetes API Specification. CNCF. OCI Image Specification. Open Container Initiative. Container Runtime Interface (CRI). CNCF.
Relevância para a plataforma: Kubernetes é o sistema de orquestração de containers da plataforma. As especificações OCI e CRI garantem portabilidade das imagens de container entre runtimes e provedores de infraestrutura. Os recursos Kubernetes utilizados (Deployment, StatefulSet, HPA, VPA, PDB, NetworkPolicy, RBAC) são documentados no Capítulo 38.
Capítulos de implementação: 38 (Kubernetes e Orquestração), 39 (Containers e Empacotamento), 37.
75.9.4 Conventional Commits
Identificação: Conventional Commits Specification, Versão 1.0.0. conventionalcommits.org.
Relevância para a plataforma: convenção de mensagens de commit adotada no repositório de código da plataforma. Habilita geração automática de changelog e versionamento semântico (semver) a partir do histórico de commits. Integrado ao pipeline CI/CD para validação automática de conformidade das mensagens de commit.
Capítulos de implementação: 40, 58.
75.9.5 Semantic Versioning — SemVer
Identificação: Semantic Versioning 2.0.0. semver.org.
Relevância para a plataforma: convenção de versionamento (MAJOR.MINOR.PATCH) adotada para versões da plataforma, versões de APIs e versões de componentes de biblioteca. MAJOR incrementa em mudanças incompatíveis, MINOR em novas funcionalidades compatíveis, PATCH em correções compatíveis. Alinhado com o versionamento de APIs (Capítulo 14) e com o ciclo de releases (Capítulo 58).
Capítulos de implementação: 14, 58.
75.9.6 Infrastructure as Code — Terraform / Helm
Identificação: HashiCorp Terraform Configuration Language (HCL). Helm Chart Specification, Helm 3. CNCF.
Relevância para a plataforma: a infraestrutura é provisionada como código (IaC) usando Terraform para recursos de nuvem e Helm para manifestos Kubernetes. IaC garante reproducibilidade, auditabilidade e versionamento da infraestrutura. As mudanças de infraestrutura passam pelo mesmo pipeline de revisão e aprovação que as mudanças de código da aplicação.
Capítulos de implementação: 37, 38, 40.
75.9.7 DORA Metrics — DevOps Research and Assessment
Identificação: Forsgren, Nicole; Humble, Jez; Kim, Gene. Accelerate: The Science of Lean Software and DevOps. IT Revolution Press, 2018. DORA State of DevOps Report.
Relevância para a plataforma: as quatro métricas DORA — Deployment Frequency (DF), Lead Time for Changes (LTC), Change Failure Rate (CFR) e Mean Time to Restore (MTTR) — são os indicadores primários de maturidade do processo de entrega de software. Os alvos para cada métrica são definidos no Capítulo 62 e medidos pelo pipeline DevSecOps.
Capítulos de implementação: 40, 62.
75.9.8 The Twelve-Factor App
Identificação: Wiggins, Adam. The Twelve-Factor App. 12factor.net, 2011.
Relevância para a plataforma: metodologia de construção de aplicações SaaS modernas em doze fatores: codebase, dependências, configuração, serviços de apoio, build/release/run, processos, port binding, concorrência, descartabilidade, paridade dev/prod, logs e processos administrativos. Os microsserviços da plataforma aderem aos doze fatores, o que facilita a operação em Kubernetes e a escalabilidade horizontal.
Capítulos de implementação: 12, 31, 37, 38.
75.9.9 Spring Framework Reference Documentation
Identificação: Spring Framework 6.x Reference Documentation. VMware/Broadcom. Spring Boot 3.x Reference Documentation.
Relevância para a plataforma: o backend da plataforma é construído com Java e Spring Boot 3.x. As funcionalidades Spring utilizadas — Spring Security (segurança), Spring Data (persistência), Spring Web MVC (REST), Spring AMQP (mensageria), Spring Actuator (observabilidade) e Spring Batch (processamento em lote) — seguem as convenções e boas práticas da documentação oficial.
Capítulos de implementação: 31.
75.9.10 React Documentation — Concurrent Features e Server Components
Identificação: React Documentation. Meta Open Source. react.dev. Versão React 18+.
Relevância para a plataforma: o frontend web é construído com React. A plataforma utiliza React hooks, Concurrent Features, React Context para estado compartilhado e padrões de composição de componentes. A documentação oficial é a referência de implementação para decisões de performance (memoização, lazy loading) e acessibilidade (ARIA, semântica HTML).
Capítulos de implementação: 32.
75.9.11 React Native Documentation
Identificação: React Native Documentation. Meta Open Source. reactnative.dev. Versão 0.73+.
Relevância para a plataforma: o aplicativo mobile é construído com React Native e NativeWind, com suporte simultâneo a iOS, Android e PWA. A documentação oficial é a referência para bridging nativo, gestão de permissões, segurança no armazenamento local (SecureStore / Keychain) e acessibilidade nativa.
Capítulos de implementação: 33.
75.10 Padrões de Gestão Documental
75.10.1 MoReq2010 — Modular Requirements for Records Systems
Identificação: MoReq2010: Modular Requirements for Records Systems. DLM Forum Foundation, 2011.
Relevância para a plataforma: especificação modular para sistemas de gestão de documentos e registros eletrônicos. A plataforma observa os requisitos MoReq2010 para serviços de registros, captura, controle de acesso, disposição e exportação de documentos gerenciados pelo módulo ECM/GED.
Capítulos de implementação: 20.
75.10.2 ISO 15489 — Gestão de Documentos
Identificação: ISO 15489-1:2016 — Information and documentation — Records management — Part 1: Concepts and principles.
Relevância para a plataforma: padrão internacional para gestão de documentos arquivísticos, cobrindo criação, captura, classificação, acesso, retenção, disposição e preservação. O módulo ECM/GED implementa os princípios da ISO 15489 para garantir que documentos criados e gerenciados na plataforma tenham valor probatório e sejam mantidos conforme as políticas de retenção dos órgãos participantes.
Capítulos de implementação: 20.
75.11 Documentos Normativos do Chamamento Público CP001/2026
Esta seção lista os documentos oficiais do processo de qualificação que possuem força normativa sobre a proposta e sobre a futura parceria.
| Documento | Identificação | Relevância |
|---|---|---|
| Edital CP001/2026 | Chamamento Público nº 001/2026 — PRODEMGE | Instrumento convocatório principal; define critérios, prazos e obrigações |
| Anexo I — Plano de Negócio | Plano de Negócio Referencial da PRODEMGE | Define o modelo de negócio, receitas, riscos e governança esperados |
| Anexo II — Qualificação | Critérios e sistema de pontuação da qualificação | Define a fórmula NF e os pesos por instrumento |
| Anexo III — Funcionalidades | Planilha de Requisitos Funcionais (150 pts máx.) | 34 requisitos em 6 blocos; fonte primária do Capítulo 64 |
| Anexo IV — Capacidades | Planilha de Requisitos de Capacidade (42 pts máx.) | 14 capacidades em 4 blocos; fonte primária do Capítulo 65 |
| Anexo V — Sustentabilidade | Planilha de Requisitos de Sustentabilidade (39 pts máx.) | 9 requisitos em 3 blocos; fonte primária do Capítulo 66 |
| Anexo VI — Termo de Qualificação | Minuta do Termo de Qualificação | Define as obrigações formais do processo |
| Anexo VII — Minuta de Contrato | Minuta do Contrato de Parceria Tecnológica | Cláusulas contratuais de referência para a parceria |
| Errata 002 | Errata ao Edital CP001/2026 — Item 18 | Correção do item 18 do Edital |
| Esclarecimentos WideLabs | Resposta PRODEMGE a esclarecimentos WideLabs | Interpretações oficiais dos requisitos |
| Esclarecimentos Valtech | Resposta PRODEMGE a esclarecimentos Valtech | Interpretações oficiais dos requisitos |
| Esclarecimentos Montreal | Resposta PRODEMGE a esclarecimentos M.I. Montreal | Interpretações oficiais dos requisitos |
| Esclarecimentos Madrona | Resposta PRODEMGE a esclarecimentos Madrona Advogados | Interpretações oficiais dos requisitos |
| Prorrogação CP001/2026 | Prorrogação de Prazo do Chamamento | Prazo de entrega: 24/07/2026 |
75.12 Rastreabilidade por Domínio
A tabela a seguir organiza as referências técnicas e normativas por domínio de aplicação, facilitando a consulta durante avaliação ou auditoria temática.
| Domínio | Referências Principais | Capítulos de Implementação |
|---|---|---|
| Proteção de dados e privacidade | LGPD (Lei 13.709/2018), ISO/IEC 27018, ISO/IEC 29100 | 44 |
| Segurança da informação | ISO/IEC 27001, ISO/IEC 27002, ISO/IEC 27005, OWASP Top 10, OWASP ASVS | 42, 43, 45, 46 |
| Identidade e acesso | OAuth 2.0, OIDC, JWT, NIST SP 800-63B | 43, 17 |
| Criptografia | TLS 1.3, AES-256-GCM, RSA, NIST SP 800-175B | 46 |
| Arquitetura de software | TOGAF, arc42, C4 Model, DDD, ISO/IEC/IEEE 42010 | 8–16 |
| APIs e integração | REST, OpenAPI 3.x, AsyncAPI 2.x, AMQP, RFC 9457 | 14, 71, 72 |
| Mensageria | AMQP 0-9-1, AsyncAPI 2.x | 13 |
| Microsserviços | DDD, Twelve-Factor App, Conventional Commits | 12, 31 |
| Gestão de serviços | ITIL 4, ISO/IEC 20000-1, COBIT 2019 | 51, 52, 53, 56 |
| DevSecOps | OWASP, CVE/NVD, SBOM, DORA Metrics | 40 |
| Observabilidade | OpenTelemetry, Prometheus | 41 |
| Infraestrutura | Kubernetes, OCI, Terraform, Helm | 37, 38, 39 |
| Continuidade de negócio | ISO 22301, ISO/IEC 27017 | 47 |
| Acessibilidade | WCAG 2.1, NBR 9241-11, Lei 13.146/2015 | 25, 26, 32, 33 |
| Qualidade de software | ISO/IEC 25010 | 74 |
| Gestão documental | e-ARQ Brasil, ISO 15489, MoReq2010 | 20 |
| Interoperabilidade | e-PING, Decreto 10.046/2019, GOV.BR OIDC | 14, 43 |
| Governança corporativa | COBIT 2019, ITIL 4 | 56, 57, 61, 62 |
| Arquitetura de segurança | SABSA, ISO/IEC 27001, OWASP ASVS | 42 |
| Mobile | React Native, OWASP MASVS | 33, 26 |
| Gestão de riscos | ISO/IEC 27005 | 60 |
75.13 Riscos e Mitigações
| Risco | Consequência | Mitigação |
|---|---|---|
| Norma citada sofre atualização durante a vigência da parceria | Controles implementados ficam desalinhados com a versão corrente | Revisão anual de referências normativas como parte da política de segurança e do processo de gestão da evolução (Cap. 55) |
| Referência a norma não adotada formalmente pela empresa | Questionamento sobre aplicabilidade durante auditoria | As referências listadas são as que efetivamente fundamentam as decisões técnicas; adoção formal de política interna de segurança baseada nas normas |
| Conflito entre normas (ex.: LGPD vs. LAI) | Dificuldade de conformidade simultânea | Análise jurídica de conflito documentada; prevalência da norma mais específica ou mais restritiva ao direito do titular |
| Norma internacional não traduzida para o português | Barreiras de acesso para equipes | Uso das versões ABNT NBR quando disponíveis; disponibilização interna de traduções de referência |
75.14 Benefícios da Rastreabilidade Normativa
O registro sistemático de referências técnicas e normativas gera os seguintes benefícios ao longo da vida da parceria:
Defensabilidade das decisões: toda escolha técnica pode ser justificada por referência a um padrão reconhecido, protegendo ambas as partes em auditorias, disputas técnicas ou processos de revisão contratual.
Facilidade de atualização: quando uma norma é revisada, a rastreabilidade identifica imediatamente quais componentes da plataforma são afetados pela mudança.
Onboarding acelerado: novos membros de equipe (parceira ou PRODEMGE) encontram neste capítulo o mapa de referências que orienta o entendimento das decisões técnicas já tomadas.
Conformidade auditável: auditores externos (TCE-MG, CGE-MG, TCU) encontram aqui a lista de normas às quais a plataforma declara conformidade, com indicação dos capítulos onde a conformidade é evidenciada.
Evolução responsável: a seleção de novas tecnologias ou a modificação de padrões existentes deve considerar o impacto nas referências normativas listadas, garantindo que a evolução não introduza regressão de conformidade.
75.15 Integrações com Outros Capítulos
| Capítulo | Relação com as Referências Normativas |
|---|---|
| Cap. 42 — Arquitetura de Segurança | Implementa os controles da ISO/IEC 27001/27002; mitiga os riscos do OWASP Top 10 e ASVS |
| Cap. 43 — IAM | Implementa OAuth 2.0, OIDC, JWT conforme os padrões de identidade listados |
| Cap. 44 — LGPD | Implementa as obrigações da Lei 13.709/2018 e os princípios da ISO/IEC 29100 |
| Cap. 46 — Criptografia | Implementa os algoritmos conforme NIST SP 800-175B e TLS 1.3 (RFC 8446) |
| Cap. 40 — DevSecOps | Implementa verificações OWASP, CVE e SBOM no pipeline |
| Cap. 14 — APIs e Integrações | Implementa REST, OpenAPI, AsyncAPI, AMQP, RFC 9457 |
| Cap. 74 — Requisitos Não Funcionais | Estruturado segundo o modelo de qualidade ISO/IEC 25010 |
| Cap. 67 — Matriz de Aderência | Rastreia requisitos do Chamamento (Anexos III, IV, V) aos capítulos técnicos |
75.16 Resumo
O Capítulo 75 consolida 50 referências técnicas e normativas organizadas em seis grupos: (1) oito instrumentos de legislação e regulação brasileira, com destaque para a LGPD, o Marco Civil e o e-ARQ Brasil; (2) onze normas técnicas ABNT/ISO/IEC, cobrindo segurança, privacidade, qualidade, continuidade e acessibilidade; (3) oito frameworks e metodologias de arquitetura, incluindo TOGAF, arc42, C4 Model, DDD e ITIL 4; (4) treze especificações de protocolos, incluindo REST, OpenAPI 3.x, AsyncAPI 2.x, OAuth 2.0, OIDC, JWT e TLS 1.3; (5) seis especificações de segurança, incluindo OWASP Top 10, ASVS, MASVS e NIST; e (6) onze padrões e guias de desenvolvimento, incluindo OpenTelemetry, Kubernetes, DORA Metrics e Twelve-Factor App.
Adicionalmente, o capítulo lista os 14 documentos oficiais do Chamamento Público CP001/2026, que têm força normativa sobre a proposta e sobre a futura parceria, e apresenta uma tabela de rastreabilidade por domínio que permite ao avaliador identificar rapidamente quais referências sustentam cada área técnica.
A rastreabilidade normativa documentada neste capítulo complementa a rastreabilidade de requisitos do Capítulo 67, formando juntas o sistema completo de rastreabilidade bidirecional do Documento Mestre: dos requisitos do Chamamento às decisões técnicas, e das decisões técnicas aos padrões que as fundamentam.
75.17 Decisões Arquiteturais — ADR
| ADR | Tema |
|---|---|
| ADR-1501 | Adoção de OpenAPI 3.x como padrão de contrato de APIs síncronas |
| ADR-1502 | Adoção de AsyncAPI 2.x para contratos de mensageria |
| ADR-1503 | Alinhamento ao OWASP ASVS Nível 2 como linha de base de segurança |
| ADR-1504 | ISO/IEC 27001 como framework de referência para controles de segurança |
| ADR-1505 | TLS 1.3 como versão mínima de protocolo de transporte |
| ADR-1506 | DDD como paradigma de design para fronteiras de microsserviços |
| ADR-1507 | ITIL 4 como framework de referência para gestão de serviços |
| ADR-1508 | WCAG 2.1 AA como nível de conformidade de acessibilidade |
| ADR-1509 | RFC 9457 como formato único de respostas de erro em APIs |
| ADR-1510 | OpenTelemetry como padrão único de instrumentação de observabilidade |
75.18 Rastreabilidade PRODEMGE
- [ANX-III] Bloco 5 — Integração e Interoperabilidade: padrões REST, OpenAPI, AsyncAPI, AMQP, OAuth 2.0, OIDC e e-PING fundamentam os itens 5.1 a 5.6.
- [ANX-III] Bloco 6 — Infraestrutura, Segurança e Governança: ISO/IEC 27001, LGPD, OWASP, TLS 1.3, OpenTelemetry fundamentam os itens 6.1 a 6.7.
- [ANX-IV] Bloco 2 — Capacidades Técnicas: OAuth 2.0, OIDC, ISO/IEC 27001, WCAG 2.1 fundamentam as capacidades 2.1 a 2.3.
- [ANX-V] Bloco 3 — Governança e Conformidade: LGPD, ISO/IEC 27001, COBIT, ITIL 4 fundamentam os itens 3.1 a 3.3.
- [EDITAL] — Chamamento Público nº 001/2026: a rastreabilidade normativa deste capítulo demonstra que as escolhas técnicas da plataforma não são arbitrárias, mas sustentadas por padrões reconhecidos, atendendo ao caráter avaliativo e classificatório do processo descrito no item 2.7 do Anexo II.
75.19 Próximo Capítulo
O Capítulo 76 apresenta o Histórico de Versões do Documento, registrando as evoluções, correções e atualizações do Documento Mestre ao longo do processo de qualificação e da vigência da parceria.
75.20 Controle de Versão
| Campo | Valor |
|---|---|
| Documento | Documento Mestre — Plataforma de Relacionamento Digital com o Cidadão |
| Capítulo | 75 — Referências Técnicas e Normativas |
| Versão | 1.0 |
| Situação | Concluído |
| Última atualização | 17/07/2026 |
Capítulo 74 — Requisitos Não Funcionais
Este capítulo consolida os requisitos não funcionais da Plataforma de Relacionamento Digital com o Cidadão em um único catálogo de referência, organizados por domínio de qualidade, com critérios de aceitação precisos, ra…
Capítulo 76 — Histórico de Versões do Documento
Este capítulo registra o histórico completo de versões do Documento Mestre da Plataforma de Relacionamento Digital com o Cidadão, produzido no âmbito do Chamamento Público nº 001/2026 da PRODEMGE.