A Proteção de Acesso ao GreenApp. Quer saber o que fazemos para proteger os dados?

Hoje, viemos te contar sobre as técnicas e ações que a GreenApp adota para proteger os dados dos clientes e fornecer um sistema aderente a LGPD.

Chame nosso time para conversar sobre as nossas implementações aderentes a A Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709/2018:
- Criptografia de ponta-a-ponta entre cliente e servidor;
- Identificação do usuário por dupla-autenticação;
- Envio de arquivos do sistema com controle de acesso por senha;
- Controle de níveis de permissão por Grupos ou Janelas por usuário;
- Controle de acesso restrito apenas para conexão de internet do cliente com IPs cadastrados no GreenApp;
- Controle de acesso aos sistema com navegadores homologados e atualizados;
- Cadastro de dispositivos confiáveis para acesso ao sistema (necessário liberação);

Conceitos que aderimos e adotamos:
- Secure by design: Pensamos em segurança desde o escopo de desenvolvimento, prevendo as possibilidade de riscos aos quais aquela aplicação pode estar sujeita;
- Active monitoring: Notificações em tempo real para prevenir ameaça aos sistemas, assim atuando preventivamente bloqueando anomalias e ameaças;
- Diretrizes ISO 31000: Atividades coordenadas para mapear os riscos, avaliar os impactos e atuar na prevenção de perdas;
- Pilares ISO 27001: Somos guiados pelos pilares da confidencialidade, disponibilidade e integridade, assim provendo soluções aderentes a LGPD;
- Conceitos ISO 27701: Conceitos para estabelecer, implementar, manter continuamente o sistema de gestão da privacidade da informação;

Algumas estratégias e técnicas que adotamos em nosso ambiente de trabalho:

Segurança na camada lógica:
- Firewall (by CISCO®) (https://www.cisco.com/) com recurso filtragem de lista negras (https://umbrella.cisco.com/)
- Monitoramento de incidentes com notificação por email, SMS, Telegram;
- Bloqueio de IPs exteriores, automatizado por listas negras, e para tentativas de invasão;
- Bloqueio de 100% das porta de serviço, exceto a porta HTTPS://
- Criptografia nas camadas de transmissão da dados AES-256 entre sub-sistemas;
- Prevenção de Cross-origin resource sharing para evitar técnica de [clickjacking];
- Redundância de sistema e backup com isolamento físico da rede;
- Conferência diária de registros de firewall, backups e sistemas por amostragem;
- Conferência automatizada em tempo-real de registros de firewall, backups e sistemas;
- Testes de restauração de backups e execução do plano de recuperação;
- Wireless para clientes com internet e cabeamento isolado fisicamente;
- Wireless corporativo com SSID oculto com WPA2, controle de MAC e senha de 128 bits isolado da rede física;
- Controle de acesso por IPs liberados;
- Dupla autenticação para validação do usuário;
- Retardo de 5 minutos para login com falha de autenticação consecutivas e bloqueio de acesso;
- Sistema para detectar acesso não autorizado nas camadas de sistemas com bloqueio do acesso;
- SPI (Stateful Packet Inspection) e DoS (Denial of Service) na camada de firewall;
- Intrusion Detection System e Intrusion Prevention System nos Sistemas;
- Sistema para prevenir roubo de dados entre cliente e servidor (middleware prevention);
- Túnel para redes privadas e criptografado na transferência de dados entre servidores remotos (by CISCO®);
- Armazenamento de cópias de segurança nos servidores com criptografia AES-256;
- Bloqueio de acesso aos sistemas GreenApp com navegadores não homologados pelo time de segurança;
- Bloqueio de acesso aos sistemas GreenApp com quando os navegadores estão desatualizados por muito tempo;
- Uso do Sistema operacionais Linux Desktop nos equipamentos dos colaboradores da GreenApp;
- Uso do Sistema operacionais Linux Server servidores da GreenApp;
- Armazenamento de dados de clientes em datacenter próprio;

Segurança na camada física:
- Cabeamento de infraestrutura gerenciado com isolamento físico;
- Monitoramento e vigilância por câmeras e alarme 24h com equipe terceirizada externa;
- Acesso restrito a equipamentos com vidro-fort laminado 10mm;
- Abertura de infraestrutura física de servidores com agendamento;
- Empresa com portas chaveadas ao público geral, acesso apenas com hora marcada para pessoas identificadas;

Segurança na camada camada humana:
- Treinamento dos profissionais para cultura corporativa sobre LGPD, proteção de dados; mitigação de riscos, conduta ética e profissional;
- Colaboradores com requisito de curso técnico/superior reconhecido pelo MEC na área da contratação;
- Implementação de manual de conduta e postura ética profissional;
- Implementação de relatório a proteção de dados para LGPD;

Tem mais! Faz parte do escopo de segurança cuidar da integridade, segurança e disponibilidade dos sistemas:
- Sincronização dos servidores de banco de dados redundantes;
- Sincronização dos servidores das aplicações com criptografia de ponta-a-ponta;
- Redundância de links dedicados por fibra ótica com balanceamento de carga;
- Sistema de gestão de energia com autonomia própria;
- Sistema de climatização do CPD* controlado;
- Segurança terceirizada para monitoramento de acesso não autorizado no CPD*;
- Teste de restauração das cópias de segurança mensais;
- Plano de recuperação desastres (DRP – Disaster Recovery Plan) com restauração (full) de 4 horas;
- Testes e execução do plano de recuperação desastres trimestral (DRP – Disaster Recovery Plan);

*CPD: Central de processamento de dados (Servidores);

Diretrizes do escopo de segurança para conformidade com a Lei Geral de Proteção de Dados do Brasil.
Tales I.E. é formado como Engenheiro de Software, Engenheiro da Computação, especializado em segurança da informação.
É D.P.O. (Encarregado de dados) na GreenApp®
É Eng. responsável pela infraestrutura dos sistemas da GreenApp®
É membro Agência Nacional de Proteção de Dados do Brasil. ANPPD