Resumo da segurança na GGWP

Atualizações e patches de segurança

• Prazo de resposta: vulnerabilidades críticas são tratadas dentro de um SLA interno de 24 horas.
• Método: uso de assinaturas ativas de alertas de CVE e varredura de imagens de contêineres.

Auditoria e logs

• Monitoramento em tempo real: AWS Security Hub, GuardDuty e alertas em tempo real garantem atenção imediata a atividades suspeitas.
• Firewall: proteção adicional para monitorar e gerenciar o tráfego de rede.
• Ciclo de revisão: revisões trimestrais dos relatórios do Security Hub para identificar itens de alto risco.
• Controle de acesso: uso de OAuth/chaves de API para auditoria e registro de logs seguros.

Testes de segurança

• Internos: revisões anuais dos fluxos de trabalho, processos e configurações de segurança.
• Externos: auditorias anuais realizadas por terceiros em todos os endpoints públicos.
• Padrões: certificação SOC 2.

Colaboração da equipe e privacidade de dados

• Controle de acesso: controles de acesso específicos por período e função, MFA e VPN são aplicados rigorosamente.
• Direcionalidade: direcionalidade de acesso definida para limitar o fluxo de informações sensíveis.
• Treinamento de funcionários: treinamento anual obrigatório em segurança e privacidade para os membros da equipe.
• Criptografia: os dados são criptografados tanto em trânsito (TLS 1.2) quanto em repouso (AES 256).
• Segmentação: ambientes multitenant com diferentes chaves de criptografia para maior segurança.
• Isolamento lógico: barreiras rigorosas para segregação de dados.
• Revisões de acesso de usuários: revisões periódicas dos acessos de usuários para garantir o princípio do menor privilégio.

Conformidade legal

Seguimos a Política de Privacidade da GGWP, que aborda os períodos de retenção de dados e a conformidade com leis de proteção de dados, como GDPR e CCPA.

Backup de dados

• Armazenamento: os dados são armazenados com segurança no AWS S3, com acesso restrito a quem precisa dessas informações.
• Disponibilidade: alta disponibilidade garantida, com snapshots noturnos, verificações de integridade dos dados, múltiplas variantes e versionamento.

Fases e ações de resposta a incidentes

• Detecção: monitoramento em tempo real de atividades não autorizadas ou violações de dados. Os tipos de incidentes incluem:
  • Informações utilizadas por funcionários ou terceiros não autorizados;
  • Informações baixadas ou copiadas indevidamente dos ambientes AWS da GGWP Inc.;
  • Equipamentos ou dispositivos contendo informações perdidos ou roubados;
  • Equipamentos ou dispositivos contendo informações sujeitos a atividades não autorizadas (por exemplo, invasões, malware);
  • Dados pessoais divulgados, acessados ou transferidos indevidamente.
• Análise: avaliação imediata pela nossa equipe de DevOps após a detecção do incidente para determinar a provável causa raiz. A análise será registrada e documentada.
• Contenção: ação rápida para mitigar a causa raiz e evitar danos adicionais. Pode envolver a aplicação de controles adicionais.
• Erradicação: eliminação de vulnerabilidades e comprometimentos dos nossos sistemas, incluindo o acesso do invasor ao ambiente.
• Recuperação: esforços coordenados para restaurar a plena operação dos sistemas afetados.
• Pós-incidente:
  • Revisão pela alta administração.
  • Garantia de comunicação adequada interna e externamente.
  • Pode envolver orientação jurídica ou contato com autoridades policiais.
  • Medidas preventivas: implementadas com base na retrospectiva e na revisão pós-incidente.

Plano de recuperação de desastres

• Versionamento
  • Versão 2.0
  • Revisado anualmente e atualizado sempre que forem identificadas lacunas nos processos
• Objetivos
  • RTO e RPO: 24 horas ou menos para incidentes de severidade 1, conforme os contratos de SLA.
• Runbooks
  • Baixa severidade: inclui interrupções simples, geralmente resolvidas com reversões de código.
  • Alta severidade: abrange perda de dados, violações e interrupções prolongadas. Há um runbook detalhado disponível.
• Pessoal
  • Baixa severidade: tratada por engenheiros de plantão.
  • Alta severidade: envolve tanto engenheiros de plantão quanto engenheiros de DevOps.
• Procedimentos
  • Baixa severidade: a reversão de código é a solução típica.
  • Alta severidade: inclui reversão de código, avanço para uma nova versão do código, restaurações de banco de dados e procedimentos de segurança.
• Acompanhamento
  • Registro de eventos: acompanhamento detalhado dos eventos e das possíveis soluções.
• Testes
  • Revisão anual: o runbook de recuperação de desastres é executado e testado anualmente, com análise retrospectiva.

Comunicação com o cliente

Em caso de incidentes graves que afetem a integridade ou a privacidade dos dados, a GGWP enviará notificações assim que for razoavelmente possível por todos os canais de comunicação disponíveis.