Política de Segurança

Os data centers atendem a altos padrões de conformidade e protocolos organizacionais garantem o descarte de ativos e o cumprimento por parte dos funcionários. Avaliações regulares e planos de recuperação de desastres protegem ainda mais os dados.

A segurança dos dados é de extrema importância para nós. Combinamos múltiplos recursos de segurança para garantir que os dados de clientes, funcionários e do negócio estejam sempre protegidos, para que nossos clientes possam ficar tranquilos sabendo que seus dados estão seguros, sua comunicação protegida e seus negócios resguardados.

Segurança de Infraestrutura

A segurança de infraestrutura envolve a proteção do hardware, software e componentes de rede subjacentes que suportam as operações de tecnologia da informação (TI) de uma organização. Isso engloba tudo, desde data centers e servidores até conexões de rede e dispositivos finais. Uma segurança de infraestrutura eficaz visa prevenir acessos não autorizados, uso indevido e interrupções, garantindo a integridade, confidencialidade e disponibilidade dos sistemas de TI.

Principais Componentes da Segurança de Infraestrutura

• Acesso à Chave de Criptografia Restrito
  Política: O acesso às chaves de criptografia é limitado a usuários autorizados com necessidade de negócio.
  Implementação: Isso garante que apenas pessoas com a devida autorização possam descriptografar informações sensíveis, minimizando o risco de violação de dados.

• Autenticação de Conta Única Aplicada
  Política: Sistemas e aplicativos exigem nomes de usuário e senhas exclusivos ou chaves SSH autorizadas.
  Implementação: Isso reduz o risco de acesso não autorizado, garantindo que cada usuário tenha uma identidade distinta para autenticação.

• Acesso à Aplicação de Produção Restrito
  Política: O acesso a aplicações de produção é limitado apenas a pessoal autorizado.
  Implementação: Essa medida impede que usuários não autorizados manipulem aplicações críticas para o funcionamento do negócio.

• Procedimentos de Controle de Acesso Estabelecidos
  Política: Requisitos documentados para adicionar, modificar e remover acessos de usuários.
  Implementação: Procedimentos claros garantem que os direitos de acesso sejam gerenciados de forma sistemática e segura.

• Acesso ao Banco de Dados de Produção Restrito
  Política: O acesso privilegiado aos bancos de dados é limitado a usuários autorizados com necessidade de negócio.
  Implementação: Isso protege dados sensíveis armazenados em bancos de dados contra acessos ou alterações não autorizadas.

• Acesso ao Firewall Restrito
  Política: O acesso privilegiado ao firewall é limitado a usuários autorizados com necessidade de negócio.
  Implementação: Firewalls são críticos para a segurança de rede, e o acesso restrito garante que sua configuração não seja comprometida.

• Acesso ao SO de Produção Restrito
  Política: O acesso privilegiado ao sistema operacional é limitado a usuários autorizados com necessidade de negócio.
  Implementação: Isso protege a camada do SO contra alterações não autorizadas que possam afetar a estabilidade e segurança do sistema.

• Acesso à Rede de Produção Restrito
  Política: O acesso privilegiado à rede de produção é limitado a usuários autorizados com necessidade de negócio.
  Implementação: Garante que apenas pessoal autorizado possa acessar a rede, reduzindo o risco de ameaças internas.

• Acesso Revogado Após Rescisão
  Política: O acesso de funcionários desligados é revogado dentro dos Acordos de Nível de Serviço (SLAs).
  Implementação: Isso impede que ex-funcionários acessem sistemas da empresa após a saída.

• Autenticação Única em Sistemas de Rede Aplicada
  Política: Exige nomes de usuário e senhas exclusivos ou chaves SSH autorizadas para acesso à rede.
  Implementação: Aumenta a segurança ao garantir que o acesso à rede seja rastreável a usuários individuais.

• Acesso Remoto Criptografado Aplicado
  Política: O acesso remoto a sistemas de produção é permitido apenas por conexões criptografadas aprovadas.
  Implementação: Protege dados transmitidos por conexões remotas contra interceptações.

• Sistema de Detecção de Intrusão Utilizado
  Política: Monitoramento contínuo da rede para detecção precoce de violações de segurança.
  Implementação: Um IDS fornece alertas em tempo real, possibilitando respostas rápidas a ameaças potenciais.

• Desempenho da Infraestrutura Monitorado
  Política: Uso de ferramentas de monitoramento para acompanhar o desempenho do sistema e gerar alertas ao atingir limites.
  Implementação: Garante que a infraestrutura permaneça robusta e quaisquer problemas sejam prontamente resolvidos.

• Segmentação de Rede Implementada
  Política: Segmentação da rede para impedir o acesso não autorizado a dados de clientes.
  Implementação: Limita a propagação de violações isolando diferentes partes da rede.

• Revisão dos Firewalls de Rede
  Política: Revisão anual das regras dos firewalls com rastreamento de alterações.
  Implementação: Mantém as configurações dos firewalls atualizadas e alinhadas com os padrões de segurança vigentes.

• Uso de Firewalls de Rede
  Política: Firewalls configurados para impedir acessos não autorizados.
  Implementação: Atua como primeira linha de defesa contra ameaças externas.

• Padrões de Hardening de Rede e Sistemas Mantidos
  Política: Padrões documentados baseados nas melhores práticas do setor, revisados anualmente.
  Implementação: Garante que os sistemas estejam configurados de forma segura para resistir a ataques.

Segurança em Data Center

Garantimos a confidencialidade e integridade dos seus dados com as melhores práticas do setor. Os servidores da FlowHunt estão hospedados em instalações Tier IV ou III+, PCI DSS, SSAE-16 ou compatíveis com ISO 27001. Nossa equipe de segurança atualiza constantemente os sistemas e responde ativamente a alertas e eventos de segurança.

Segurança Física

Segurança de Rede

Nossa rede é protegida por firewalls redundantes, tecnologia de roteamento de ponta, transporte HTTPS seguro sobre redes públicas e tecnologias de Detecção e/ou Prevenção de Intrusão de Rede (IDS/IPS) que monitoram e/ou bloqueiam tráfego malicioso e ataques à rede.

Medidas Adicionais

• Mitigação de DDoS: Infraestrutura líder de mercado para proteger e mitigar o impacto de ataques de negação de serviço.
• Criptografia de Comunicação: As comunicações entre você e os servidores FlowHunt são criptografadas seguindo as melhores práticas do setor em HTTPS e TLS sobre redes públicas.

Segurança Organizacional

Procedimentos para Descarte de Ativos

• Avaliação de Inventário: Identificar e catalogar todos os dispositivos programados para descarte.
• Backup de Dados: Fazer backup seguro dos dados necessários antes do descarte.
• Eliminação de Dados: Utilizar ferramentas certificadas para apagar todos os dados dos dispositivos conforme padrões do setor.
• Destruição Física: Para dispositivos que não podem ser apagados, métodos de destruição física como trituração ou desmagnetização são empregados.
• Conformidade Ambiental: Todos os métodos de descarte seguem as regulamentações ambientais.

Certificação e Conformidade

• Documentação: Manter registros detalhados de todos os ativos descartados, incluindo números de série, métodos de descarte e datas.
• Verificação por Terceiros: Contratar fornecedores terceirizados certificados para verificar e documentar o processo de descarte.

Conformidade de Funcionários e Prestadores

• Verificação de Antecedentes: Novos funcionários passam por verificações rigorosas de antecedentes antes de serem contratados.
• Código de Conduta: Funcionários e prestadores devem reconhecer e aderir ao código de conduta da empresa, com políticas disciplinares para violações.
• Acordos de Confidencialidade: Acordos de confidencialidade são obrigatórios para todos os funcionários durante a integração e para prestadores no momento da contratação.

Protocolos de Visitantes e Segurança

• Procedimentos para Visitantes: Visitantes devem se registrar, usar crachá de visitante e ser acompanhados por um funcionário autorizado ao acessar áreas seguras.
• Treinamento em Segurança: Funcionários completam treinamento de conscientização em segurança até trinta dias após a contratação e anualmente, para se manterem atualizados sobre melhores práticas e novas ameaças.

Segurança do Produto

Criptografia de Dados

Todos os bancos de dados FlowHunt e backups de bancos de dados com dados sensíveis de clientes são criptografados. A criptografia dos dados de faturamento e pagamentos é realizada por nossos processadores de pagamento (Stripe).

• Criptografia em Nível de Coluna: Criptografa colunas específicas dentro de um banco de dados, proporcionando uma abordagem mais direcionada à proteção de dados. Esse método é útil para proteger campos sensíveis como chaves de API.
• Protocolos de Criptografia: Protocolos SSL (Secure Sockets Layer) e TLS (Transport Layer Security) são utilizados para criptografar transmissões de dados em redes.

Testes de Penetração

A FlowHunt realiza testes de penetração regulares e incentiva pesquisadores de segurança externos, por meio de um programa de recompensa de bugs, a identificar vulnerabilidades.

Atualizado: 30/05/2025