FAQ SEGURANÇA
- Possui perfis de acesso distintos para funcionários que acessam dados pessoais?
Temos o perfil de acesso de administrador e de usuário comum, além disso temos um sistema de ACL que pode ser aplicado a qualquer usuário.
- Possui processo de anonimização de dados em seus tratamentos, quando aplicável?
Não se aplica, não precisamos anonimizar dados de produção pois utilizamos seeds (dados gerados randomicamente) para demais ambientes, como homologação.
- Existem políticas ou procedimentos de controle de acesso lógico e físico de onde existam dados pessoais e dados pessoais sensíveis?
Acesso a dados são controlados pelos perfis de acesso e pela nossa ACL. Apenas o time de plataforma tem acesso mediante VPN e termos de responsabilidade.
- Possui procedimentos relativos ao ambiente tecnológico e de segurança da informação e proteção de dados pessoais?
Restringimos o acesso pela VPN a todos os integrantes do time de engenharia, e a todos os sistemas que compõem a Convenia. Mantemos um ambiente segregado de desenvolvimento sem nem um acesso a dados de produção ou a qualquer serviço de produção. Toda alteração tanto nos sistemas quanto na infraestrutura da Convenia é submetida à uma rigorosa revisão onde asseguramos os termos da LGPD.
- Existem regras de firewall de entrada e saída configurados?
Utilizamos o princípio de mínimo privilégio nos security groups dos recursos públicos garantindo apenas acesso às portas necessárias e dá origem necessária.
- O(s) banco(s) de dados onde os dados são armazenados possui(em) conexão direta para a internet?
Não possuem, ficam todos dentro de uma rede privada.
- Existe um firewall pessoal habilitado nas máquinas da companhia?
Computadores de funcionário contam com windows defender e iptables, para windows e linux respectivamente.
- Existe uma ferramenta de WAF (Web Application Firewall) implementada?
Sim, utilizamos o WAF da cloudflare para todos os domínios públicos
- Existe um proxy habilitado nas máquinas?
Temos o cloudflare como proxy, um load balancer na ponta de cada API que mascara o IP dos recursos e um NAT gateway para subnets privadas
- Os dados armazenados possuem criptografia?
Dados em trânsito (https) são criptografados com TLS, apenas senhas no banco de dados são criptografadas. Os documentos são criptografados com criptografia SSE-S3, gerenciada pela aws.
- Os banco de dados onde os dados são armazenados geram logs de auditoria tanto para acesso às tabelas do banco quanto para qualquer modificação?
Sim, todas as consultas erros e eventos(backups) são logados pelo RDS.
- Existe processo para criação e alteração de senha para os clientes ? Existe um processo de validação quando o cliente solicita troca ou criação de senha?
O próprio cliente é responsável por criar e gerenciar sua senha, a senha é criptografada com um processo de mão única, impossível a descriptografia logo apenas o cliente sabe a própria senha.
- Existe um processo de limitação de acesso aos servidores (principalmente banco de dados) firewalls e demais componentes de rede?
Sim, apenas o time de plataforma tem acesso a esses recursos e apenas pela VPN mediante contrato de responsabilidade.
- A plataforma possui Autenticação via SSO?
Atualmente não possuímos autenticação via Single Sign-on.
- Qual a frequência de execução de PenTest e qual provedor está fornecendo este serviço?
Executamos ao menos 1x ao ano, a execução no momento é de responsabilidade de uma empresa externa.
- Quais testes de vulnerabilidades são executados no código da aplicação. Qual solução está em uso para esta avaliação?
Toda alteração feita em uma aplicação da Convenia é submetida a um pipeline de CI/CD onde a aplicação é submetida a uma série de validações para garantir a qualidade do software sendo produzido. Para garantir que a alteração não introduzirá uma vulnerabilidade utilizamos a ferramenta Enlightn Security Checker que verifica os componentes utilizados na aplicação e os confronta com um banco de dados de vulnerabilidades, caso exista alguma vulnerabilidade, a alteração não vai para o ar e o desenvolvedor é responsável por resolver a vulnerabilidade.
- Qual o fornecedor está fornecendo o serviço de Resposta à Incidentes?
Hoje tratamos essas questões internamente, com nossa própria equipe.
- Os dados “In Transit” e “At Rest” são criptografados? Qual a solução está em uso atualmente?
Todos os dados trafegam do cliente para os servidores da Convenia via conexão segura(https) com criptografia TLS. Os servidores da Convenia trocam informações entre si, mesmo dentro da rede privada, via conexão segura utilizando criptografia TLS. Documentos de clientes são armazenados no Amazon S3, todos os buckets são protegidos com criptografia SSE-S3, chaves de criptografia são gerenciadas pela Amazon.
- Alguma solução de controle de movimentação lateral em uso (por exemplo, EDR) para o ambiente destas aplicações?
Para evitar a movimentação lateral, nossos usuários só conseguem acessar nossas aplicações e banco de dados se estiverem em nossa rede interna, para isso, necessitam de uma VPN com chaves pessoais, para mantermos o controle de quem tem acesso, revisamos constantemente os usuários com acessos ativos. Além da VPN para melhorar nossa segurança, utilizamos o CloudFlare.
- Como os dados são armazenados?
As informações são armazenadas em um banco de dados externo (servidor da nuvem) da empresa Amazon AWS localizado nos Estados Unidos da América. O armazenamento dos nossos dados estão situados na região us-east-1 (Norte da Virginia). A empresa adota medidas de segurança como backup, gestão das credenciais de acesso com perfis administrativos personalizados, garantias de rastreabilidade do acesso dos dados (logs). Acesso a dados são controlados pelos perfis de acesso e pela nossa ACL. O time de plataforma tem acesso apenas via VPN e apenas colaboradores que trabalham com situações críticas, mediante termos de responsabilidade.