Segurança da informação
A Commbox compreende a necessidade crítica de práticas de segurança robustas para proteger os dados dos clientes e cumprir os requisitos estatutários e regulamentares no competitivo mercado global atual.
Adoptámos normas e diretrizes internacionais como base do nosso Sistema de Gestão da Segurança da Informação, garantindo uma segurança abrangente em toda a nossa tecnologia, programas e processos. A nossa estrutura de segurança inclui gestão de acessos, proteção de endpoints e antivírus, gestão de patches, resposta a incidentes, desenvolvimento e testes seguros, análises de conformidade de segurança, gestão de activos, continuidade do negócio, retenção e eliminação, gestão de redes, manuseamento de meios, segurança de operações, registo e monitorização, gestão de malware e vulnerabilidades, organização interna e avaliação de riscos, equipamento, segurança do pessoal, segurança física e gestão de fornecedores terceiros.
Programa de Segurança da Informação
Num mercado global cada vez mais competitivo, em que os serviços em nuvem para a gestão da informação estão a ser rapidamente adoptados, é crucial manter práticas de segurança sólidas. Proteger os dados da empresa, dos clientes e dos funcionários contra as ameaças de cibersegurança em constante evolução e demonstrar a conformidade com os requisitos estatutários e regulamentares é essencial para todas as empresas.
Nossas medidas de segurança estão integradas em todas as nossas tecnologias, programas e processos. A Commbox adotou a família de normas ISO 27000 da International Standards Organization (Organização Internacional de Padrões), especificamente a ISO 27001, como base para o nosso Sistema de Gerenciamento de Segurança da Informação. Estabelecemos, documentámos e implementámos políticas, normas e controlos em conformidade com os requisitos da norma ISO 27001.
A nossa estrutura de segurança baseia-se nas principais normas de segurança das informações e é mantida por uma equipa interna de especialistas em segurança da nuvem, de aplicações e de informações. Descubra as medidas descritas no nosso Programa de Segurança da Informação que utilizamos para identificar e proteger contra ameaças emergentes. Políticas completas para cada assunto estão disponíveis mediante solicitação.
Alojamento e armazenamento de dados
A plataforma e os dados da CommBox estão alojados nas instalações da Amazon Web Services (AWS) na Irlanda.
Gestão do acesso
A Commbox estabeleceu um processo bem definido para conceder acesso a todos os activos de informação. Os privilégios e os direitos de acesso são atribuídos aos funcionários com base no nosso controlo de acesso baseado em funções aprovado pela administração, que se baseia nos princípios da "necessidade de conhecer" e do "menor privilégio" para proteger os activos de informação contra o acesso e a divulgação não autorizados. A nossa política de palavras-passe é aplicada uniformemente em todos os activos de informação, garantindo o cumprimento dos requisitos mínimos de comprimento, complexidade, expiração da palavra-passe, histórico e bloqueio da conta em caso de tentativas falhadas.
Proteção de endpoints e antivírus
De acordo com as nossas políticas, todos os sistemas operativos detidos e suportados pela Commbox devem ser configurados com a nossa solução antivírus. Além disso, encriptamos os computadores para que os seus dados não sejam acessíveis, mesmo em caso de perda ou roubo.
Gestão de Patches
Recolhemos e analisamos informações sobre ameaças à segurança a partir das nossas ferramentas internas de gestão de vulnerabilidades, fornecedores e outras organizações de segurança de terceiros. A nossa norma de gestão de patches define práticas de patches adequadas para as nossas equipas de tecnologia. Além disso, podemos implementar controlos de segurança adicionais para mitigar ameaças conhecidas, quando necessário.
Resposta a incidentes
É estabelecido um processo de resposta a incidentes para os resolver à medida que vão surgindo. Gerido por uma equipa dedicada de resposta a incidentes, este processo segue um procedimento documentado de mitigação e comunicação. O plano segue várias normas reconhecidas e as melhores práticas do sector e realizamos um exercício anual de um cenário de resposta a incidentes.
O processo de resposta a incidentes da Commbox exige que os incidentes sejam prontamente comunicados, investigados e monitorizados, de modo a garantir a adoção atempada de medidas corretivas para controlar e remediar os incidentes de segurança.
Desenvolvimento e testes seguros
Na Commbox, damos prioridade à segurança em todos os aspectos dos nossos processos de desenvolvimento e teste. O nosso compromisso com o desenvolvimento seguro começa com uma abordagem abrangente de segurança em primeiro lugar, garantindo que todo o software é construído com mecanismos de proteção robustos desde o início. A nossa equipa de desenvolvimento adere às melhores práticas da indústria, tais como normas de codificação seguras e revisões regulares do código, para identificar e mitigar potenciais vulnerabilidades no início do ciclo de desenvolvimento. Além disso, dispomos de procedimentos de controlo de alterações do sistema, restrições às alterações dos pacotes de software, testes de segurança e aceitação do sistema e outras medidas para reduzir o risco.
Análises de conformidade de segurança
As nossas análises de conformidade de segurança são parte integrante da nossa estrutura operacional, garantindo que todos os nossos processos, sistemas e aplicações cumprem ou excedem os regulamentos e as melhores práticas do sector. Realizamos auditorias e avaliações regulares para verificar a nossa conformidade com as normas internacionais, como o RGPD, ISO 27001, SOC2, PCI e outras certificações e regulamentos relevantes. A nossa equipa de conformidade dedicada trabalha diligentemente para se manter actualizada com os mais recentes requisitos de segurança e alterações regulamentares, implementando os ajustes necessários às nossas políticas e procedimentos. Através de documentação abrangente, monitorização contínua e aplicação rigorosa de medidas de conformidade, a Commbox garante um ambiente seguro e em conformidade, fornecendo soluções fiáveis e de confiança aos nossos clientes.
Gestão de activos
Mantemos um inventário detalhado de todos os nossos activos de hardware, software e digitais para garantir que são devidamente controlados, mantidos e protegidos. Os nossos processos de gestão de activos incluem auditorias regulares, gestão do ciclo de vida e controlos de acesso rigorosos para proteger contra a utilização não autorizada e potenciais vulnerabilidades.
Plano de continuidade das actividades
A CommBox tem um plano de Continuidade de Negócio bem planeado. Todas as informações estão num documento formal que podemos fornecer mediante pedido. O plano é atualizado e testado anualmente. Todos os dados são armazenados em dois servidores separados (produção + cópias de segurança) no parque de servidores AWS. É feita uma cópia de segurança de todas as informações no servidor de cópia de segurança até duas semanas atrás. No caso de o servidor de produção estar indisponível, o servidor de cópia de segurança está disponível com todos os dados.
Conservação e eliminação
Estabelecemos políticas abrangentes de retenção e eliminação para gerir dados e activos de forma segura e responsável. As nossas políticas de retenção garantem que os dados são armazenados apenas durante o tempo necessário para cumprir os requisitos regulamentares, as necessidades comerciais e os acordos com os clientes. Classificamos e revemos regularmente os nossos dados para garantir a conformidade com as diretrizes legais e organizacionais. Quando os dados ou activos já não são necessários, os nossos processos de eliminação garantem uma eliminação segura. Isto inclui a utilização de métodos de destruição de dados certificados e a eliminação adequada de activos físicos para evitar o acesso não autorizado ou violações de dados.
Gestão de redes
A nossa estratégia de gestão de rede engloba um conjunto abrangente de práticas para garantir o melhor desempenho, segurança e escalabilidade da nossa infraestrutura de rede. Utilizamos ferramentas e técnicas de monitorização avançadas para supervisionar a atividade da rede, detetar anomalias e evitar potenciais ameaças em tempo real. A nossa rede foi concebida com mecanismos de redundância e failover para manter operações contínuas e minimizar o tempo de inatividade. Implementamos controlos de acesso rigorosos e protocolos de encriptação para salvaguardar os dados em trânsito e impedir o acesso não autorizado. Auditorias e actualizações regulares às nossas configurações de rede garantem que nos mantemos à frente das ameaças emergentes e que mantemos a conformidade com as normas da indústria.
Tratamento dos meios de comunicação social
Gestão da mudança\Operações
A Commbox garante que todas as alterações ao ambiente dos sistemas de informação operacionais, incluindo modificações nos servidores, equipamento de rede e software, são objeto de um processo formal de gestão das alterações.
Além disso, a Commbox mantém cópias de segurança das informações e do software para facilitar a recuperação de dados em caso de incidentes como falhas do sistema ou eliminação acidental de dados.
Registo e monitorização
O registo de segurança centralizado, automatizado e sistemático e a monitorização do ambiente operacional são continuamente conduzidos através do nosso Centro de Operações de Segurança (SOC). Isto assegura a consciencialização em tempo real, a correlação de eventos e uma resposta rápida a incidentes. Utilizamos um sistema SIEM para centralizar e monitorizar todos os alertas e dados relevantes de diferentes registos. Todos os registos estão protegidos contra alterações ou adulterações e são mantidos durante, pelo menos, 24 meses. Monitorizamos sistemas, serviços e operações para garantir a integridade dos nossos ambientes operacionais. São utilizadas ferramentas de gestão para monitorizar e manter um ambiente bem dimensionado e altamente disponível.
Gestão de malware e vulnerabilidades
O nosso programa abrangente de gestão de malware e vulnerabilidades inclui medidas proactivas para detetar, prevenir e responder a ameaças. Utilizamos ferramentas anti-malware avançadas e sistemas de monitorização contínua para identificar e neutralizar potenciais ameaças em tempo real. São efectuadas avaliações trimestrais de vulnerabilidade e um teste de penetração anual para descobrir e resolver as fragilidades de segurança nas nossas infra-estruturas e aplicações. A nossa equipa de segurança dedicada mantém-se informada sobre as últimas informações relativas a ameaças e aplica patches e actualizações atempadamente para reduzir os riscos. Através de programas rigorosos de formação e sensibilização, garantimos que o nosso pessoal está equipado para reconhecer e responder a potenciais ameaças. Ao manter uma estrutura robusta de gestão de malware e vulnerabilidades, a Commbox garante a segurança e a resiliência contínuas dos nossos serviços, protegendo os dados dos nossos clientes e mantendo a sua confiança.
Organização interna e gestão de riscos
Efectuamos anualmente uma avaliação externa do risco, cujos resultados são apresentados à direção e discutidos no âmbito de uma análise formal anual do risco. Após a conclusão das actividades de avaliação do risco, a nossa equipa de segurança colabora com as equipas de produtos e tecnologia para formular planos de correção e roteiros destinados a colmatar as lacunas de conformidade e os riscos identificados.
Também efectuamos auditorias internas e externas para avaliar a adesão a políticas, normas e requisitos regulamentares. As conclusões destas auditorias são registadas para revisão e subsequentes esforços de correção dentro da organização.
Segurança do pessoal
Todos os nossos funcionários aderem ao nosso código de conduta e à nossa PUA, que reflecte os valores e a missão da nossa empresa. São informados das suas responsabilidades, das nossas políticas e normas, e recebem orientação e apoio regulares da nossa equipa de Segurança da Informação sobre as melhores práticas de segurança de dados.
Para cumprir as leis e os regulamentos relevantes, efectuamos verificações completas dos antecedentes quando contratamos pessoal permanente. Isto garante a autenticidade dos indivíduos e minimiza o risco para os activos de informação críticos.
Proporcionamos formação contínua obrigatória em segurança da informação e oferecemos formação adicional a grupos e indivíduos específicos, conforme necessário. O nosso pessoal está vinculado a obrigações de confidencialidade e está ciente das consequências do incumprimento das nossas políticas e das suas responsabilidades.
Na Commbox, seguimos um processo estruturado de saída dos funcionários que inclui a revogação atempada das permissões/direitos de acesso ao sistema e a devolução dos bens da empresa.
Segurança física
Todos os centros de dados estratégicos cumprem as normas e as melhores práticas da indústria nos domínios da segurança física, manutenção de edifícios, supressão de incêndios, ar condicionado, UPS com gerador de reserva e acesso a diversas infra-estruturas de energia e comunicações.
A Commbox analisa regularmente os relatórios de garantia de fornecedores e centros de dados de terceiros como parte do nosso programa de Gestão de Riscos de Fornecedores.
O acesso às nossas instalações, bem como ao fornecedor de serviços na nuvem, é rigorosamente controlado através de uma variedade de métodos seguros, garantindo que o acesso é concedido estritamente com base nas necessidades operacionais. Dependendo da sensibilidade da instalação, estes métodos podem incluir pessoal de segurança, cartões de identificação, controlo de acesso eletrónico com leitores de cartões de proximidade, fechaduras físicas e números PIN.
Gestão de fornecedores terceiros
Dispomos de um processo de aceitação de fornecedores terceiros para garantir que todos os parceiros terceiros cumprem as nossas normas de segurança e conformidade. Efectuamos uma avaliação de risco antes de trabalhar com um determinado fornecedor e estabelecemos acordos contratuais claros que definem os requisitos de segurança e privacidade, as obrigações de conformidade e as expectativas de desempenho. Também efectuamos análises e auditorias a fornecedores.
Segurança das infra-estruturas
Canais seguros e encriptação forte. Sistemas de prevenção de intrusão (IPS), Firewalls de aplicativos e Firewalls baseados em rede. Todo o tráfego de dados que passa pela CommBox é encriptado em trânsito utilizando encriptação de 256 bits. Nossos pontos de extremidade de API e aplicativos são TLS/SSL e têm uma classificação "A". Além disso, a CommBox criptografa os dados em repouso usando um algoritmo de criptografia AES-256 padrão do setor para segurança máxima.
Utilizamos controlos faseados, incluindo a segmentação da rede, para garantir níveis adequados de proteção para sistemas e dados. Além disso, são implementados controlos de prevenção de perda de dados para melhorar a segurança.
Divulgação
Para comunicar um problema de segurança à Commbox, líder em soluções de inovação, damos prioridade à segurança do nosso ambiente de TI e dos dados dos clientes. Incentivamos a divulgação responsável de quaisquer vulnerabilidades descobertas nos nossos sítios ou aplicações, a fim de melhorar continuamente as nossas práticas de segurança. A Commbox valoriza a contribuição de investigadores de segurança externos e está empenhada em colaborar com eles para verificar e resolver potenciais vulnerabilidades.
Se acredita ter identificado um problema de segurança num dos nossos produtos ou serviços, seja nosso parceiro e comunique-o através do nosso Programa de Divulgação Responsável de Vulnerabilidades da HackerOne em [email protected]. Ao enviar o seu relatório, inclua os seguintes detalhes:
- Descrição do problema e sua localização
- Passos necessários para reproduzir o problema
A sua colaboração ajuda-nos a manter um ambiente seguro e a melhorar a nossa postura de segurança.
MANTER OS NOSSOS DADOS SEGUROS
As seguintes actividades são estritamente proibidas:
- Hackear, invadir ou tentar obter acesso não autorizado a aplicativos, sistemas ou dados da Commbox, o que constitui uma violação das leis aplicáveis.
- Participar em acções que possam ter um impacto negativo na Commbox ou perturbar o funcionamento das nossas aplicações ou sistemas (por exemplo, envio de spam, ataques de força bruta, ataques de negação de serviço).
- Descarregar, copiar, divulgar ou utilizar quaisquer dados proprietários ou confidenciais pertencentes à Commbox, incluindo dados de clientes.
- Realizar quaisquer ataques físicos ou electrónicos contra o pessoal, bens ou centros de dados da Commbox.
Recomendamos que você analise nossa Política de Divulgação de Vulnerabilidades antes de realizar qualquer teste ou relatar vulnerabilidades. A Commbox envidará todos os esforços para responder prontamente à denúncia de uma vulnerabilidade. Obrigado por nos ajudar a proteger os dados da Commbox e dos nossos clientes.
