Responsabilidade compartilhada

A 2CLIX sabe que sua segurança e privacidade são importantes e se preocupa muito com isso.

Este documento visa descrever as responsabilidades envolvidas na cadeia de suprimento do serviço do Portal de Qualidade da 2CLIX TECNOLOGIA EIRELLI.

DEFINIÇÃO

O Portal da Qualidade é classificado como um serviço to tipo SaaS: Software as a Service, provendo uma aplicação baseada na web em que para o uso é necessário uma conta com acesso válido e conexão com a internet.

Para garantir a continuidade e disponibilidade dos serviços prestados pela 2clix, o Portal da Qualidade tem sua infraestrutura baseada nos serviços de computação em nuvem, contratando o serviço do provedor QTS para utilização de seus servidores. Este serviço é feito por um modelo IaaS. Neste caso o data center está disponibilizando a infraestrutura do data center e servidores contratados como o serviço a ser prestado a organização.

Criando assim a seguinte cadeia de serviços:

CADEIA DE RESPONSABILIDADE

Cliente

O Portal da Qualidade se baseia principalmente na funcionalidade de criação de formulários, seu preenchimento e exibição de relatórios, para isso conta com uma plataforma que possui extensa personalização ao longo do sistema. Por ser um SaaS é justamente nas personalizações que está contida a responsabilidade do Cliente.

O sistema por padrão, conta com seu próprio sistema de logon, campos de formulário padrões que não solicitam por dados pessoais e modelos de permissão de acesso baseados no tipo de usuário, a partir do modelo padrão os usuários do cliente podem alterar o ambiente conforme o desejado para satisfazer as suas necessidades, essas personalizações incluem:

• Integração com AD externo, como Azure AD e Google Auth;
• Bloqueio de acesso externo à plataforma por meio de restrições de IP;
• Configuração do nível de força para a senha quando usando o logon da plataforma;
• Configuração do número de tentativas de acesso que um usuário pode realizar antes de ser bloqueado;
• Configuração do tempo de bloqueio por tentativas de acesso incorreto;
• Criação da senha inicial para ser usada para o primeiro acesso de novos usuários;
• Criação de campos adicionais nos formulários de cadastro (Usuários e Planilhas de Monitoria);
• Integração com Zendesk para consulta de chamados durante uma monitoria;
• Criação de tipos de usuários personalizados;
• Alteração das permissões de acesso de todos os tipos de usuário.

Essas personalizações permitem que o usuário construa a aplicação conforme suas necessidades, porém também dá ao usuário a responsabilidade pelo grau de segurança dos acessos ao seu ambiente. Também permite, por meio da personalização de cadastros que os usuários criem campos de cadastro que irão contém informações pessoais ou informações pessoais sensíveis, nestes casos o sistema terá opções para indicar aquele campo como ‘dado pessoal sensível’ e o usuário deverá selecionar esta opção quando criar o campo.

Sendo assim espera-se que o cliente se responsabilize pelo uso responsável da plataforma pelos seus usuários, assim como as personalizações e configurações do seu ambiente e os tipos de dados que serão usados no Portal da Qualidade.

Data Center

Por prover um serviço do tipo IaaS o Data Center conta com a responsabilidade de garantir a segurança física dos servidores e rede, assim como garantir a disponibilidade do serviço 24/7. É o responsável pela rede física do data center, pelos equipamentos, pessoal autorizado e medidas de redundância para backup, conexão com a internet e prevenção de falhas ambientais, mecânicas ou elétricas.

2clix

A 2clix se responsabiliza pela manutenção do Sistema Operacional do Servidor, controle de acessos, programas instalados e monitoramento. Também é responsável pela proteção dos dados armazenados, gerar backups e testá-los, manutenção do banco de dados, configuração do Firewall e VPNs, assim como uso de conexões https para o uso do Portal da Qualidade, mantendo os certificados atualizados

Sendo assim a responsabilidade da organização está naquilo que está na arquitetura de Nuvem que o Data Center proporciona, principalmente nos dados que entram e saem dos servidores.

A organização se responsabiliza então, pelos seguintes controles e processos de segurança:

• Controle dos acessos ao servidor via VPN ou FTP;
• Atualização do Sistema Operacional e Softwares do servidor;
• Aplicação de patches de segurança;
• Criação, manutenção e edição das regras de Firewall;
• Monitoramento dos logs de acesso e eventos do servidor;
• Criação de rotina de backup dos dados, sua criptografia e teste do backup;
• Manutenção do DNS e certificados HTTPS;
• Restauração dos serviços do Portal da Qualidade e seus dados em servidor auxiliar em caso de falha grave no Data Center ou equipamentos principais;
• Manter Inventário de dados atualizados;
• Criptografar dados sinalizados como sensíveis;
• Controle dos acesso dos seus colaboradores e fornecedores;
• Monitoramento de rede e servidores;
• Monitoramento do Banco de Dados;
• Tratamento de vulnerabilidades e segurança da aplicação;
• Manutenção do Portal da Qualidade;
• Hardening dos equipamentos.