Segurança da Informação
A Commbox compreende a necessidade crucial de práticas de segurança robustas para proteger os dados dos clientes e cumprir os requisitos legais e regulamentares no competitivo mercado global atual.
Adotámos normas e diretrizes internacionais como base do nosso Sistema de Gestão da Segurança da Informação, garantindo uma segurança abrangente em toda a nossa tecnologia, programas e processos. A nossa estrutura de segurança inclui gestão de acessos, proteção de terminais e antivírus, gestão de patches, resposta a incidentes, desenvolvimento e testes seguros, revisões de conformidade de segurança, gestão de ativos, continuidade de negócios, retenção e eliminação, gestão de redes, manuseamento de suportes, segurança operacional, registo e monitorização, gestão de malware e vulnerabilidades, organização interna e avaliação de riscos, equipamentos, segurança do pessoal, segurança física e gestão de fornecedores externos.
Programa de Segurança da Informação
Num mercado global cada vez mais competitivo, onde os serviços na nuvem para a gestão da informação estão a ser rapidamente adotados, é fundamental manter práticas de segurança robustas. Proteger os dados da empresa, dos clientes e dos colaboradores contra as ameaças de cibersegurança em constante evolução e demonstrar a conformidade com os requisitos legais e regulamentares é essencial para todas as empresas.
As nossas medidas de segurança estão integradas em todas as nossas tecnologias, programas e processos. A Commbox adotou a família de normas 27000 da Organização Internacional de Normalização (ISO), nomeadamente a norma ISO 27001, como base para o nosso Sistema de Gestão da Segurança da Informação. Estabelecemos, documentámos e implementámos políticas, normas e controlos que cumprem os requisitos da norma ISO 27001.
A nossa estrutura de segurança baseia-se nas principais normas de segurança da informação e é gerida por uma equipa interna de especialistas em segurança na nuvem, de aplicações e da informação. Descubra as medidas descritas no nosso Programa de Segurança da Informação, que utilizamos para identificar e proteger contra ameaças emergentes. As políticas completas relativas a cada tema estão disponíveis mediante solicitação.
Alojamento e armazenamento de dados
A plataforma e os dados da CommBox estão alojados nas instalações da Amazon Web Services (AWS) na Irlanda.
Gestão de Acessos
A Commbox estabeleceu um processo bem definido para a concessão de acesso a todos os ativos de informação. Os privilégios e direitos de acesso são atribuídos aos colaboradores com base no nosso controlo de acesso por funções, aprovado pela administração, que se baseia nos princípios da «necessidade de saber» e do «privilégio mínimo» para proteger os ativos de informação contra o acesso e a divulgação não autorizados. A nossa política de palavras-passe é aplicada de forma uniforme em todos os ativos de informação, garantindo o cumprimento dos requisitos mínimos de comprimento, complexidade, validade da palavra-passe, histórico e bloqueio da conta em caso de tentativas falhadas.
Proteção de terminais e antivírus
De acordo com as nossas políticas, todos os sistemas operativos detidos e suportados pela Commbox devem ser configurados com a nossa solução antivírus. Além disso, encriptamos os computadores para que os seus dados não fiquem acessíveis, mesmo em caso de perda ou roubo.
Gestão de atualizações
Recolhemos e analisamos informações sobre ameaças à segurança provenientes das nossas ferramentas internas de gestão de vulnerabilidades, de fornecedores e de outras organizações de segurança externas. A nossa norma de gestão de correções define as práticas adequadas de aplicação de correções para as nossas equipas de tecnologia. Além disso, podemos implementar controlos de segurança adicionais para mitigar ameaças conhecidas, sempre que necessário.
Resposta a incidentes
Foi estabelecido um processo de resposta a incidentes para lidar com os incidentes à medida que estes surgem. Gerido por uma equipa dedicada à resposta a incidentes, este processo segue um procedimento documentado para a mitigação e comunicação. O plano cumpre várias normas reconhecidas e as melhores práticas do setor, e realizamos anualmente um exercício simulado de resposta a incidentes.
O processo de resposta a incidentes da Commbox exige que os incidentes sejam prontamente comunicados, investigados e monitorizados, de modo a garantir que sejam tomadas medidas corretivas atempadas para controlar e resolver os incidentes de segurança.
Desenvolvimento e testes seguros
Na Commbox, damos prioridade à segurança em todos os aspetos dos nossos processos de desenvolvimento e teste. O nosso compromisso com o desenvolvimento seguro começa com uma abordagem abrangente que coloca a segurança em primeiro lugar, garantindo que todo o software é desenvolvido com mecanismos de proteção robustos desde o início. A nossa equipa de desenvolvimento segue as melhores práticas do setor, tais como normas de codificação segura e revisões regulares do código, para identificar e mitigar potenciais vulnerabilidades numa fase inicial do ciclo de desenvolvimento. Além disso, dispomos de procedimentos de controlo de alterações ao sistema, restrições às alterações em pacotes de software, testes de segurança e de aceitação do sistema e outras medidas para reduzir o risco.
Avaliações de conformidade de segurança
As nossas análises de conformidade de segurança são parte integrante do nosso quadro operacional, garantindo que todos os nossos processos, sistemas e aplicações cumprem ou excedem os regulamentos e as melhores práticas do setor. Realizamos auditorias e avaliações regulares para verificar a nossa conformidade com normas internacionais, tais como o RGPD, a ISO 27001, a SOC2, a PCI e outras certificações e regulamentos relevantes. A nossa equipa dedicada à conformidade trabalha diligentemente para se manter a par dos mais recentes requisitos de segurança e alterações regulamentares, implementando os ajustes necessários nas nossas políticas e procedimentos. Através de documentação abrangente, monitorização contínua e aplicação rigorosa das medidas de conformidade, a Commbox garante um ambiente seguro e em conformidade, fornecendo soluções fiáveis e de confiança aos nossos clientes.
Gestão de ativos
Mantemos um inventário detalhado de todo o nosso hardware, software e ativos digitais para garantir que sejam devidamente controlados, mantidos e protegidos. Os nossos processos de gestão de ativos incluem auditorias regulares, gestão do ciclo de vida e controlos de acesso rigorosos para proteger contra a utilização não autorizada e potenciais vulnerabilidades.
Plano de Continuidade de Negócios
A CommBox dispõe de um plano de continuidade de negócios bem estruturado. Toda a informação consta de um documento formal que podemos disponibilizar mediante solicitação. O plano é atualizado e testado anualmente. Todos os dados são armazenados em dois servidores distintos (produção + cópias de segurança) na infraestrutura de servidores da AWS. São mantidas cópias de segurança de toda a informação no servidor de cópias de segurança, com um período de retenção de até duas semanas. Caso o servidor de produção fique indisponível, o servidor de cópias de segurança fica disponível com todos os dados.
Armazenamento e eliminação
Estabelecemos políticas abrangentes de retenção e eliminação para gerir dados e ativos de forma segura e responsável. As nossas políticas de retenção garantem que os dados sejam armazenados apenas durante o tempo necessário para cumprir os requisitos regulamentares, as necessidades comerciais e os acordos com os clientes. Classificamos e revemos regularmente os nossos dados para garantir a conformidade com as diretrizes legais e organizacionais. Quando os dados ou ativos já não são necessários, os nossos processos de eliminação garantem a sua eliminação segura. Isto inclui a utilização de métodos certificados de destruição de dados e a eliminação adequada de ativos físicos, a fim de evitar o acesso não autorizado ou violações de dados.
Gestão de redes
A nossa estratégia de gestão de rede abrange um conjunto abrangente de práticas destinadas a garantir o desempenho, a segurança e a escalabilidade ideais da nossa infraestrutura de rede. Utilizamos ferramentas e técnicas avançadas de monitorização para supervisionar a atividade da rede, detetar anomalias e prevenir potenciais ameaças em tempo real. A nossa rede foi concebida com mecanismos de redundância e failover para manter a continuidade das operações e minimizar o tempo de inatividade. Implementamos controlos de acesso rigorosos e protocolos de encriptação para proteger os dados em trânsito e impedir o acesso não autorizado. Auditorias regulares e atualizações das configurações da nossa rede garantem que nos mantemos à frente das ameaças emergentes e que cumprimos as normas do setor.
Manuseamento de suportes
Gestão da Mudança\Operações
A Commbox garante que todas as alterações ao ambiente dos sistemas de informação operacionais, incluindo modificações nos servidores, no equipamento de rede e no software, sejam sujeitas a um processo formal de gestão de alterações.
Além disso, a Commbox mantém cópias de segurança das informações e do software para facilitar a recuperação de dados em caso de incidentes, tais como falhas do sistema ou eliminação acidental de dados.
Registo e monitorização
O registo e a monitorização centralizados, automatizados e sistemáticos da segurança do ambiente operacional são realizados de forma contínua através do nosso Centro de Operações de Segurança (SOC). Isto garante a monitorização em tempo real, a correlação de eventos e uma resposta rápida a incidentes. Utilizamos um sistema SIEM para centralizar e monitorizar todos os alertas e dados relevantes provenientes de diferentes registos. Todos os registos estão protegidos contra alterações ou adulterações e são mantidos durante, pelo menos, 24 meses. Monitorizamos sistemas, serviços e operações para garantir o bom funcionamento dos nossos ambientes operacionais. São utilizadas ferramentas de gestão para monitorizar e manter um ambiente bem dimensionado e de alta disponibilidade.
Gestão de malware e vulnerabilidades
O nosso programa abrangente de gestão de malware e vulnerabilidades inclui medidas proativas para detetar, prevenir e responder a ameaças. Utilizamos ferramentas antimalware avançadas e sistemas de monitorização contínua para identificar e neutralizar potenciais ameaças em tempo real. São realizadas avaliações trimestrais de vulnerabilidades e um teste de penetração anual para identificar e resolver pontos fracos de segurança na nossa infraestrutura e nas nossas aplicações. A nossa equipa de segurança dedicada mantém-se informada sobre as mais recentes informações de ameaças e aplica patches e atualizações atempadas para mitigar riscos. Através de programas rigorosos de formação e sensibilização, garantimos que o nosso pessoal está preparado para reconhecer e responder a potenciais ameaças. Ao manter uma estrutura robusta de gestão de malware e vulnerabilidades, a Commbox garante a segurança e resiliência contínuas dos nossos serviços, protegendo os dados dos nossos clientes e mantendo a sua confiança.
Organização interna e gestão de riscos
Realizamos anualmente uma avaliação externa de riscos, cujos resultados são apresentados à direção e discutidos no âmbito de uma revisão formal anual de riscos. Após concluir as atividades de avaliação de riscos, a nossa equipa de segurança colabora com as equipas de produto e de tecnologia para elaborar planos de correção e roteiros destinados a resolver as lacunas de conformidade e os riscos identificados.
Realizamos também auditorias internas e externas para avaliar o cumprimento das políticas, normas e requisitos regulamentares. As conclusões destas auditorias são registadas para análise e para a implementação de medidas corretivas na organização.
Segurança do pessoal
Todos os nossos colaboradores cumprem o nosso código de conduta e a Política de Utilização Aceitável (AUP), que refletem os valores e a missão da nossa empresa. São informados sobre as suas responsabilidades, as nossas políticas e normas, e recebem orientação e apoio regulares da nossa equipa de Segurança da Informação sobre as melhores práticas em matéria de segurança de dados.
Para cumprir as leis e regulamentos aplicáveis, realizamos verificações exaustivas dos antecedentes aquando da contratação de pessoal efetivo. Isto garante a autenticidade dos candidatos e minimiza o risco para os ativos de informação críticos.
Ministramos formação contínua obrigatória em segurança da informação e oferecemos formação adicional a grupos específicos e a indivíduos, conforme necessário. Os nossos colaboradores estão sujeitos a obrigações de confidencialidade e estão cientes das consequências do incumprimento das nossas políticas e das suas responsabilidades.
Na Commbox, seguimos um processo estruturado de saída de colaboradores que inclui a revogação atempada das permissões do sistema/direitos de acesso e a devolução dos bens da empresa.
Segurança física
Todos os centros de dados estratégicos cumprem as normas e as melhores práticas do setor nas áreas da segurança física, manutenção predial, sistemas de extinção de incêndios, ar condicionado, UPS com gerador de reserva e acesso a diversas infraestruturas de energia e comunicações.
A Commbox analisa regularmente os relatórios de garantia de fornecedores externos e centros de dados, no âmbito do nosso programa de gestão de riscos de fornecedores.
O acesso às nossas instalações, bem como ao fornecedor de serviços na nuvem, é rigorosamente controlado através de vários métodos de segurança, garantindo que o acesso é concedido estritamente com base nas necessidades operacionais. Dependendo do nível de confidencialidade das instalações, estes métodos podem incluir pessoal de segurança, cartões de identificação, controlo de acesso eletrónico com leitores de cartões de proximidade, fechaduras físicas e códigos PIN.
Gestão de fornecedores externos
Dispomos de um processo de aceitação de fornecedores externos para garantir que todos os nossos parceiros cumprem as nossas normas de segurança e conformidade. Realizamos uma avaliação de riscos antes de iniciarmos a colaboração com um determinado fornecedor e estabelecemos acordos contratuais claros que definem os requisitos de segurança e privacidade, as obrigações de conformidade e as expectativas de desempenho. Além disso, realizamos análises e auditorias aos fornecedores.
Segurança das infraestruturas
Canais seguros e encriptação robusta. Sistemas de Prevenção de Intrusões (IPS), firewalls de aplicações e firewalls de rede. Todo o tráfego de dados que passa pela CommBox é encriptado em trânsito utilizando encriptação de 256 bits. A nossa API e os pontos finais das aplicações utilizam TLS/SSL e obtêm uma classificação «A». Além disso, a CommBox encripta os dados em repouso utilizando um algoritmo de encriptação AES-256, padrão da indústria, para garantir a máxima segurança.
Utilizamos controlos em várias camadas, incluindo a segmentação da rede, para garantir níveis adequados de proteção dos sistemas e dos dados. Além disso, são implementados controlos de prevenção da perda de dados para reforçar a segurança.
Divulgação
Para comunicar um problema de segurança à Commbox, líder no desenvolvimento de soluções inovadoras, damos prioridade à segurança do nosso ambiente informático e aos dados dos nossos clientes. Encorajamos a divulgação responsável de quaisquer vulnerabilidades detetadas nos nossos sites ou aplicações, com o objetivo de melhorar continuamente as nossas práticas de segurança. A Commbox valoriza a contribuição de investigadores de segurança externos e está empenhada em colaborar com eles para verificar e resolver potenciais vulnerabilidades.
Se acredita ter identificado um problema de segurança num dos nossos produtos ou serviços, colabore connosco e comunique-o através do nosso Programa de Divulgação Responsável de Vulnerabilidades HackerOne, em [email protected]. Ao enviar o seu relatório, inclua os seguintes detalhes:
- Descrição do problema e da sua localização
- Passos necessários para reproduzir o problema
A sua colaboração ajuda-nos a manter um ambiente seguro e a melhorar a nossa postura de segurança.
PROTEGER OS NOSSOS DADOS
Informamos que as seguintes atividades são estritamente proibidas:
- Hackear, invadir ou tentar obter acesso não autorizado às aplicações, sistemas ou dados da Commbox, o que constitui uma violação das leis aplicáveis.
- Realizar ações que possam prejudicar a Commbox ou perturbar o funcionamento das nossas aplicações ou sistemas (por exemplo, envio de spam, ataques de força bruta, ataques de negação de serviço).
- Descarregar, copiar, divulgar ou utilizar quaisquer dados proprietários ou confidenciais pertencentes à Commbox, incluindo dados de clientes.
- Realizar quaisquer ataques físicos ou eletrónicos dirigidos ao pessoal, aos bens ou aos centros de dados da Commbox.
Recomendamos que consulte a nossa Política de Divulgação de Vulnerabilidades antes de realizar quaisquer testes ou comunicar vulnerabilidades. Se comunicar uma vulnerabilidade de forma responsável, a Commbox envidará todos os esforços para responder prontamente. Agradecemos a sua ajuda na proteção da Commbox e dos dados dos nossos clientes.
