Central de confiança
Controles
Segurança da infraestrutura
- Desconhecido: Autenticação única exigida em bancos de dados de produçãoA empresa exige que o acesso aos armazenamentos de dados de produção use mecanismos de autenticação seguros e autorizados, como chaves SSH únicas.
- Desconhecido: Acesso a chaves de criptografia restritoA empresa restringe o acesso privilegiado às chaves de criptografia a usuários autorizados com necessidade de negócio.
- Desconhecido: Autenticação de conta única exigidaA empresa exige que o acesso a sistemas e aplicações use nome de usuário e senha únicos ou chaves SSH (Secure Socket Shell) autorizadas.
- Desconhecido: Acesso a aplicações de produção restritoO acesso ao sistema é restrito a acessos autorizados.
- Desconhecido: Acesso a bancos de dados de produção restritoA empresa restringe o acesso privilegiado aos bancos de dados a usuários autorizados com necessidade de negócio.
- Desconhecido: Acesso ao sistema operacional de produção restritoA empresa restringe o acesso privilegiado ao sistema operacional a usuários autorizados com necessidade de negócio.
- Desconhecido: Acesso à rede de produção restritoA empresa restringe o acesso privilegiado à rede de produção a usuários autorizados com necessidade de negócio.
- Desconhecido: Autenticação única exigida em sistemas de redeA empresa exige que o acesso à rede de produção use nomes de usuário e senhas únicos ou chaves SSH (Secure Socket Shell) autorizadas.
- Desconhecido: MFA exigida para acesso remotoOs sistemas de produção da empresa só podem ser acessados remotamente por funcionários autorizados que tenham um método válido de autenticação multifator (MFA).
- Desconhecido: Criptografia exigida para acesso remotoOs sistemas de produção da empresa só podem ser acessados remotamente por funcionários autorizados por meio de uma conexão criptografada aprovada.
Segurança organizacional
- Desconhecido: Tecnologia antimalware em usoA empresa implanta tecnologia antimalware em ambientes suscetíveis a ataques maliciosos e a configura para ser atualizada regularmente, registrar sua atividade e estar instalada em todos os sistemas relevantes.
- Desconhecido: Verificação de antecedentes de funcionários realizadaA empresa verifica os antecedentes de novos funcionários.
- Desconhecido: Acordo de confidencialidade assinado pelos funcionáriosA empresa exige que os funcionários assinem um acordo de confidencialidade durante a integração.
Segurança do produto
- Desconhecido: Criptografia de dados em usoOs armazenamentos de dados da empresa com dados sensíveis de clientes são criptografados em repouso.
- Desconhecido: Autoavaliações de controles realizadasA empresa realiza autoavaliações de controles pelo menos uma vez por ano para garantir que os controles existem e funcionam com eficácia. Ações corretivas são tomadas com base nas constatações relevantes. Se a empresa se comprometeu com um SLA para uma constatação, a ação corretiva é concluída dentro desse SLA.
- Desconhecido: Testes de intrusão realizadosA empresa realiza testes de intrusão pelo menos uma vez por ano. Um plano de correção é elaborado e mudanças são implementadas para corrigir vulnerabilidades de acordo com os SLAs.
- Desconhecido: Procedimentos de gestão de vulnerabilidades e monitoramento estabelecidosAs políticas formais da empresa definem os requisitos das seguintes funções de TI e engenharia: gestão de vulnerabilidades e monitoramento de sistemas.
Procedimentos internos de segurança
- Desconhecido: Seguro cibernético mantidoA empresa mantém um seguro cibernético para reduzir o impacto financeiro de interrupções nos negócios.
- Desconhecido: Sistema de gestão de configuração estabelecidoA empresa tem um procedimento de gestão de configuração que garante que as configurações de sistema sejam implantadas de forma consistente em todo o ambiente.
- Desconhecido: SOC 2 – Descrição do sistemaPreencher uma descrição do sistema para a Seção III do relatório de auditoria
- Desconhecido: Política de denúncias estabelecidaA empresa formalizou uma política de denúncias e mantém um canal de comunicação anônimo para que usuários relatem possíveis problemas ou suspeitas de fraude.
- Desconhecido: Reuniões de supervisão do conselho realizadasA alta administração informa o conselho de administração, ou um comitê competente, pelo menos uma vez por ano sobre o estado dos riscos de cibersegurança e privacidade da empresa. O conselho dá feedback e orientação à administração quando necessário.
- Desconhecido: Estatuto do conselho documentadoO conselho de administração da empresa tem um estatuto documentado que define suas responsabilidades de supervisão do controle interno.
- Desconhecido: Experiência do conselho desenvolvidaOs membros do conselho têm experiência suficiente para supervisionar a capacidade da administração de projetar, implementar e operar controles de segurança da informação. O conselho contrata especialistas e consultores externos em segurança da informação quando necessário.
- Desconhecido: Reuniões do conselho realizadasO conselho de administração se reúne pelo menos uma vez por ano e mantém atas formais. O conselho inclui conselheiros independentes da empresa.
- Desconhecido: Mudanças no sistema comunicadas externamenteA empresa notifica os clientes sobre mudanças críticas no sistema que possam afetar seu processamento.
- Desconhecido: Papéis e responsabilidades definidosOs papéis e responsabilidades de projeto, desenvolvimento, implementação, operação, manutenção e monitoramento dos controles de segurança da informação são formalmente atribuídos nas descrições de cargos ou na política de papéis e responsabilidades.
- Desconhecido: Sistema de suporte disponívelA empresa mantém um sistema de suporte externo que permite aos usuários relatar ao pessoal adequado falhas, incidentes, preocupações e outras reclamações.
- Desconhecido: Mudanças no sistema comunicadasA empresa comunica mudanças no sistema aos usuários internos autorizados.
- Desconhecido: Solicitações de acesso exigidasA empresa garante que o acesso dos usuários aos componentes do sistema no escopo seja baseado em cargo e função, ou exija um formulário de solicitação documentado e aprovação do gestor antes de ser concedido.
- Desconhecido: Compromissos da empresa comunicados externamenteOs compromissos de segurança da empresa são comunicados aos clientes nos contratos-quadro de serviços (MSA) ou nos termos de serviço (TOS).
- Desconhecido: Recursos de suporte externo disponíveisA empresa oferece aos clientes guias e recursos de suporte técnico sobre a operação do sistema.
- Desconhecido: Descrição do serviço comunicadaA empresa fornece uma descrição de seus produtos e serviços a usuários internos e externos.
- Desconhecido: Objetivos da avaliação de riscos definidosA empresa define seus objetivos para permitir a identificação e a avaliação dos riscos relacionados a eles.
- Desconhecido: Avaliações de riscos realizadasA empresa realiza avaliações de riscos pelo menos uma vez por ano. Nesse processo, ameaças e mudanças (ambientais, regulatórias e tecnológicas) aos compromissos de serviço são identificadas e os riscos são avaliados formalmente. A avaliação considera o potencial de fraude e como ela pode afetar o alcance dos objetivos.
Dados e privacidade
- Desconhecido: Dados de clientes excluídos na saídaQuando um cliente deixa o serviço, a empresa remove do ambiente da aplicação os dados de clientes com informações confidenciais, de acordo com as boas práticas.
Relatórios
Suboperadores
Dados
A Hacktron coleta informações pessoais identificáveis de clientes e dados de cartão de crédito. Ela não coleta informações pessoais de saúde.