Segurança, privacidade e infraestrutura
1. Visão geral
O MindAware 360º é disponibilizado no modelo Software as a Service (SaaS), com infraestrutura, controles e processos voltados à proteção dos dados, à segurança da aplicação, à disponibilidade dos serviços e à continuidade da operação.
Por se tratar de uma solução SaaS, sua utilização não exige a implantação de servidores ou infraestrutura dedicada no ambiente do cliente. O acesso é realizado de forma segura e centralizada por meio de navegadores web, a partir de desktops, notebooks, tablets e smartphones.
A infraestrutura necessária à operação da plataforma é gerenciada pela HSC Labs, incluindo hospedagem, armazenamento, monitoramento, backups, atualizações, correções, manutenções e controles de segurança.
A arquitetura foi desenvolvida para suportar alta disponibilidade, escalabilidade e recuperação de desastres, permitindo que a capacidade de processamento seja adequada aos diferentes níveis de utilização da plataforma e a períodos de maior demanda.
2. Segurança e privacidade desde a concepção
A arquitetura e o desenvolvimento do MindAware incorporam princípios de Security by Design e Privacy by Design, considerando requisitos de segurança e privacidade desde a concepção e ao longo do ciclo de vida da plataforma.
As práticas adotadas buscam reduzir a exposição a vulnerabilidades, limitar acessos indevidos, proteger os dados tratados e preservar a confidencialidade, integridade e disponibilidade das informações.
Esses princípios também orientam a evolução da plataforma, incluindo novas funcionalidades, atualizações e alterações em seus componentes.
3. Desenvolvimento seguro
O desenvolvimento do MindAware segue práticas de desenvolvimento seguro alinhadas a referências reconhecidas pelo mercado, incluindo OWASP e Secure Coding Practices.
Os controles aplicados ao desenvolvimento da plataforma abrangem práticas de validação de dados de entrada, tratamento e codificação segura de saídas, gerenciamento de sessões e mecanismos destinados à prevenção de vulnerabilidades e ataques comuns contra aplicações web.
Entre os riscos considerados estão ataques de injeção, Cross-Site Scripting (XSS), Cross-Site Request Forgery (CSRF) e outros vetores de ataque associados a aplicações web.
A segurança também é considerada durante a manutenção e evolução da plataforma. As tecnologias e componentes utilizados são acompanhados quanto à identificação de vulnerabilidades conhecidas, permitindo a aplicação de atualizações, correções e patches de segurança de forma tempestiva.
O ambiente da aplicação é mantido em versões consideradas seguras e suportadas, de acordo com as tecnologias utilizadas.
4. Proteção de dados e conformidade com a LGPD
O MindAware adota controles técnicos e organizacionais voltados à proteção dos dados pessoais tratados pela plataforma e à conformidade com a Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709/2018 (LGPD).
Os controles adotados buscam preservar a privacidade e assegurar a confidencialidade, integridade e disponibilidade das informações durante seu tratamento.
A plataforma e os processos associados ao serviço permitem o gerenciamento das informações necessárias para dar transparência ao tratamento de dados pessoais, incluindo informações relacionadas aos dados coletados, período de retenção e eventuais compartilhamentos aplicáveis.
Também são disponibilizados meios para apoiar o atendimento aos direitos dos titulares previstos na legislação, incluindo solicitações de acesso, correção e exclusão de dados, bem como revogação do consentimento quando essa for a base legal aplicável ao tratamento.
O tratamento de dados pode ser acompanhado e auditado pelos administradores autorizados, respeitando os perfis de acesso e as permissões estabelecidas na plataforma.
5. Proteção de dados em ambientes não produtivos
A proteção de dados pessoais se estende aos ambientes utilizados no ciclo de desenvolvimento da solução.
Nos ambientes de desenvolvimento, teste e homologação, o MindAware utiliza mecanismos de mascaramento de dados pessoais, reduzindo a exposição de informações e impedindo que dados pessoais sejam apresentados de forma desnecessariamente identificável nesses ambientes.
Essa prática complementa os controles de acesso e os demais mecanismos de proteção adotados durante o desenvolvimento, teste e manutenção da plataforma.
6. Controle de acesso e autenticação
O MindAware utiliza mecanismos de controle de acesso baseados em perfis e permissões, permitindo que funcionalidades e informações sejam disponibilizadas de acordo com as atribuições de cada usuário administrativo.
O acesso administrativo à plataforma conta com autenticação multifator (MFA), adicionando uma camada de proteção além das credenciais de acesso.
A utilização de diferentes perfis administrativos permite limitar privilégios e restringir o acesso a funcionalidades e informações conforme as permissões atribuídas.
As ações e eventos relevantes são registrados para possibilitar rastreabilidade e apoiar processos de auditoria.
7. Criptografia e proteção das informações
Os dados tratados pelo MindAware são protegidos por mecanismos criptográficos durante a transmissão e o armazenamento.
Para dados em trânsito, são utilizados protocolos criptográficos seguros, incluindo TLS 1.2 ou superior, protegendo a comunicação entre usuários, aplicações e componentes da infraestrutura.
Os dados armazenados também são protegidos por mecanismos de criptografia compatíveis com boas práticas de segurança.
A gestão dos mecanismos criptográficos contempla controles para gerenciamento, proteção, rotação e revogação de chaves, de forma a preservar a segurança das informações ao longo de seu ciclo de vida.
Os mesmos princípios de proteção são aplicados aos backups da plataforma, que são criptografados e armazenados em ambientes protegidos.
8. Logs, rastreabilidade e auditoria
O MindAware mantém registros de eventos relevantes relacionados à utilização e à segurança da plataforma, incluindo logs necessários para rastreabilidade e auditoria.
Esses registros permitem acompanhar eventos de acesso, operações e ocorrências relevantes de segurança, contribuindo para processos de análise, investigação e auditoria.
Os logs são armazenados em ambiente seguro, com controles destinados a protegê-los contra alterações não autorizadas e preservar sua integridade.
Os registros são mantidos por um período mínimo de 12 meses.
O armazenamento utiliza formatos estruturados e reconhecidos pelo mercado, como SYSLOG, JSON, XML ou formatos equivalentes, permitindo a identificação e interpretação dos eventos registrados e sua utilização em processos de monitoramento e auditoria.
9. Segurança da aplicação e proteção de perímetro
A infraestrutura utilizada pelo MindAware conta com diferentes camadas de proteção destinadas a reduzir a exposição da aplicação e dos dados a ataques externos.
A plataforma utiliza Web Application Firewall (WAF) dedicado, responsável por monitorar e controlar o tráfego destinado à aplicação e atuar na proteção contra diferentes tipos de ataques direcionados a aplicações web.
Os controles abrangem ameaças como SQL Injection, Cross-Site Scripting (XSS), Cross-Site Request Forgery (CSRF), ataques de negação de serviço (DoS e DDoS), entre outros vetores.
A infraestrutura dos datacenters também conta com firewall de última geração, sistemas de prevenção de intrusões (IPS) e monitoramento contínuo, 24 horas por dia, sete dias por semana.
Esses mecanismos operam de forma complementar aos controles incorporados à própria aplicação e às práticas de desenvolvimento seguro.
10. Infraestrutura e datacenters
A infraestrutura que suporta o MindAware utiliza datacenters Tier III, com redundância lógica e geográfica.
A operação é distribuída entre dois datacenters localizados em São Paulo e um terceiro datacenter localizado na região Nordeste do Brasil. Essa distribuição contribui para a continuidade dos serviços, disponibilidade da plataforma e resiliência da infraestrutura.
Os serviços são disponibilizados 24 horas por dia, sete dias por semana, com uptime de 99,998%.
A infraestrutura foi estruturada para atender aos requisitos de segurança, desempenho e disponibilidade da plataforma, além de contribuir para a manutenção dos dados e serviços em território nacional.
11. Alta disponibilidade e escalabilidade
A arquitetura do MindAware foi desenvolvida para operar em alta disponibilidade e suportar variações na demanda de processamento.
A infraestrutura dispõe de mecanismos de escalabilidade que permitem adequar recursos computacionais à utilização da plataforma, inclusive em períodos de maior demanda.
O ambiente suporta autoescalonamento e escalonamento sazonal de processamento, permitindo absorver picos de consumo e períodos de grande utilização sem a necessidade de disponibilização de infraestrutura adicional pelo cliente.
Esses mecanismos contribuem para a manutenção do desempenho e da disponibilidade dos serviços à medida que o volume de usuários, acessos ou processamento varia.
12. Backup, redundância e recuperação de desastres
O MindAware possui mecanismos de continuidade destinados a preservar a disponibilidade e a recuperabilidade das informações e dos serviços.
A estratégia de continuidade contempla backups, replicação, redundância da infraestrutura e procedimentos de contingência e recuperação de desastres.
Os backups são criptografados e armazenados em ambiente seguro, com controles destinados à proteção contra acesso ou alteração não autorizados.
A arquitetura permite a segmentação lógica dos dados e a aplicação de controles adicionais de segurança, possibilitando procedimentos de backup e restauração dos dados conforme a necessidade operacional.
A redundância lógica e geográfica da infraestrutura complementa esses mecanismos e reduz a dependência de um único ambiente físico para a continuidade dos serviços.
13. Distribuição de conteúdos por CDN
Os conteúdos disponibilizados pelo MindAware, incluindo materiais utilizados em campanhas e treinamentos, são distribuídos com apoio de uma Content Delivery Network (CDN).
A CDN conta com pontos de presença no território brasileiro, permitindo aproximar a entrega dos conteúdos dos usuários e reduzir a latência durante o acesso.
A utilização dessa arquitetura contribui para melhorar o desempenho, a disponibilidade e a estabilidade na distribuição de conteúdos, inclusive em situações de maior volume de acessos simultâneos.
14. Monitoramento e manutenção da infraestrutura
A infraestrutura, hospedagem, armazenamento, backups, monitoramento, atualizações de versões, correções e manutenções necessárias à operação do MindAware são gerenciados pela HSC Labs.
Esse gerenciamento inclui o acompanhamento dos componentes utilizados pela plataforma, a aplicação de atualizações e correções de segurança e a manutenção dos controles necessários à continuidade do serviço.
A centralização dessas atividades permite que os clientes utilizem a plataforma sem a necessidade de gerenciar servidores, componentes de infraestrutura ou atualizações locais relacionadas ao MindAware.
15. Segurança do site e boas práticas de configuração
Além dos controles aplicados à plataforma e à infraestrutura, o ambiente web do MindAware adota configurações e práticas destinadas à utilização segura dos protocolos e recursos da Internet.
A solução atende aos requisitos avaliados pelo Teste TOP – Site, do NIC.br, considerando os critérios técnicos contemplados pelo serviço.
Esse resultado complementa os demais controles adotados para proteção das comunicações e configuração segura dos serviços disponibilizados pela plataforma.
16. Certificações e padrões da infraestrutura
A infraestrutura utilizada para disponibilização do MindAware está apoiada em ambientes e provedores que adotam padrões reconhecidos de segurança, privacidade, continuidade e gestão de serviços.
Entre as certificações e atestações aplicáveis à infraestrutura estão:
ISO 20000
ISO/IEC 27001
ISO/IEC 27701
ISO/IEC 27017
ISO/IEC 27018
ISO 22301
SOC 2 Tipo II (AICPA)
PCI DSS
Tier III Design Certification
ISAE 3402 SOC 1
ISAE 3402 SOC 2
ISAE 3402 SOC 3
Essas certificações abrangem diferentes aspectos relacionados à gestão de serviços de tecnologia, segurança da informação, privacidade, proteção de dados em ambientes de nuvem, continuidade de negócios, controles organizacionais e infraestrutura de datacenter.
As certificações aplicáveis à infraestrutura e aos provedores utilizados pelo serviço podem ser apresentadas como evidência em processos de avaliação, homologação e contratação, conforme aplicável.
17. Gestão integrada da segurança
A segurança do MindAware é estruturada em diferentes camadas, abrangendo o desenvolvimento da aplicação, proteção dos dados, controle de acesso, criptografia, monitoramento, segurança da infraestrutura, disponibilidade e continuidade dos serviços.
Os controles técnicos e operacionais são aplicados ao longo do ciclo de vida da plataforma, desde o desenvolvimento e manutenção até o processamento, armazenamento e distribuição das informações.
Esse modelo permite combinar práticas de desenvolvimento seguro, proteção de aplicações web, controles de acesso, criptografia, rastreabilidade, redundância, backups e mecanismos de recuperação em uma arquitetura SaaS gerenciada pela HSC Labs.
O objetivo é preservar a confidencialidade, integridade, disponibilidade e privacidade das informações tratadas pelo MindAware e oferecer uma infraestrutura adequada à utilização da plataforma em ambientes corporativos.