Medidas técnicas e organizacionais da DigiCert para garantir a privacidade e a segurança das informações

Para manter a segurança e a privacidade dos dados que armazenamos, a DigiCert (e suas empresas afiliadas, doravante “DigiCert”) implementou e mantém um conjunto de controles (como políticas, práticas, procedimentos e mecanismos) que minimizam vulnerabilidades diante de ameaças de observação, divulgação, uso, modificação, perigo ou destruição não autorizados ou planejados. Estabelecer e respeitar esses controles garante que possamos tratar e mitigar riscos de segurança e privacidade de maneira adequada.

Os controles técnicos e organizacionais da DigiCert estão alinhados aos padrões do setor e a necessidades de negócios para atingir níveis apropriados de privacidade e segurança. A lista de controles abaixo descreve a linha de base mínima das práticas padrão de proteção de dados da DigiCert.

1. Gerenciamento de políticas e documentos – A DigiCert mantém, atualiza anualmente (no mínimo) e testa uma Política de Segurança de Informações, um Plano de Continuidade de Negócios, um Plano de Recuperação em Caso de Desastres e um Processo de Resposta a Incidentes. A DigiCert mantém e atualiza conforme necessário um contrato de compartilhamento de dados intragrupo e contratos adequados de processamento de dados pelos fornecedores. Além de avisos de privacidade divulgados publicamente que se aplicam a produtos e serviços da DigiCert, a DigiCert também mantém e revisa/atualiza anualmente uma Estrutura de Política de Privacidade, definindo processos e padrões de privacidade aplicáveis à DigiCert.
2. Controles de segurança de rede – Os administradores de sistemas da DigiCert garantem que os componentes dos sistemas de informações publicamente acessíveis (como servidores Web públicos) residam em sub-redes diferentes com interfaces de rede físicas distintas. Os administradores de sistemas da DigiCert também garantem que interfaces controladas que protegem o perímetro da rede filtrem certos tipos de pacotes para proteger dispositivos na rede interna da DigiCert. Dispositivos de controle de limites e firewalls são configurados de modo a permitir o acesso ao que for necessário para executar as operações da DigiCert.
3. Controles de segurança de bancos de dados – Todo o acesso (quer no sistema, quer diretamente por funcionários) aos bancos de dados da DigiCert é registrado e monitorado quanto a alterações não autorizadas. Os dados são criptografados em bancos de dados por meio de uma codificação recomendada pelo setor, e o acesso direto é restrito a funções definidas pela Política de Segurança de Informações e pela Declaração de Práticas de Certificação da DigiCert.
4. Controles de acesso e autenticação – É possível rastrear todas as interações do usuário com os sistemas da DigiCert até a pessoa que executou essas ações. Todos os usuários devem ser identificados positivamente para poderem interagir com os sistemas da DigiCert. Os funcionários da DigiCert devem primeiro se autenticar nos sistemas da DigiCert antes de obterem acesso aos componentes do sistema necessários para desempenhar as respectivas funções de confiança e funções definidas pela Política de Segurança de Informações e pela Declaração de Práticas de Certificação da DigiCert. As contas de usuário e outros tipos de acesso aos sistemas de computadores da DigiCert devem ser aprovados de acordo com a Política de Acesso do Usuário. Conforme descrito em políticas aplicáveis, tanto controles físicos como lógicos para indivíduos autorizados são revisados periodicamente (no mínimo, anualmente).
5. Controles de pessoal – Todos os funcionários da DigiCert e outros prestadores com acesso a dados e/ou sistemas da DigiCert estão sujeitos a contratos de confidencialidade e precisam ser aprovados em verificação de antecedentes e passar por treinamentos específicos baseados em funções. A DigiCert mantém e aplica políticas e procedimentos para funções confiáveis, identificação e autenticação para cada função, sanções para ações não autorizadas, separação de tarefas, identificação de funcionários e remoção imediata do acesso ao sistema para funcionários demitidos e outros prestadores cujo acesso foi encerrado.
6. Controles de segurança física – O acesso a todos os escritórios, salas de computadores e áreas de trabalho que tenham informações confidenciais é fisicamente restrito. Todas as portas de escritório têm um cadeado, e todas as portas de entrada de instalações da DigiCert estão sempre trancadas. Essas portas podem ser abertas com um cartão de acesso ou outro dispositivo de controle de acesso, emitido após a confirmação de um histórico sem antecedentes criminais. Os data centers, a gaiola e os escritórios da DigiCert são monitorados por circuito fechado de TV. A gaiola de segurança requer acesso biométrico e de dupla custódia aos funcionários. Todos os acessos são registrados.
7. Gerenciamento e correção de vulnerabilidades – Verificações mensais são feitas em todos os ativos da DigiCert por meio de ferramentas de detecção de vulnerabilidades. As correções de sistemas devem ocorrer em intervalos definidos pelas Operações de Segurança Global. Os intervalos se baseiam na pontuação CVSS (Common Vulnerability Scoring System) atribuída. Vulnerabilidades graves e críticas são corrigidas em até 72 horas; vulnerabilidades médias são corrigidas ou têm um plano de ação criado dentro de 30 dias, e vulnerabilidades baixas e informativas são corrigidas segundo o critério da DigiCert.
8. Avaliação interna abrangente – Todos os anos, a DigiCert conduz uma avaliação de risco abrangente para identificar todas as ameaças internas e externas razoavelmente antevistas à segurança, à privacidade, à confidencialidade e à integridade.
9. Avaliação de penetração/avaliação externa – Ao menos uma avaliação de penetração é feita por terceiros a cada ano. A DigiCert normalmente faz vários testes de penetração por ano no código, na infraestrutura e nos sistemas, além de realizar avaliações de red teams.
10. Treinamento e conscientização – Todos os funcionários e outros prestadores precisam passar por treinamentos anuais de privacidade, segurança e conformidade. Funcionários ou outras pessoas que lidem com informações confidenciais e pessoalmente identificáveis recebem treinamento adicional. Todos os prestadores com acesso a sistemas e/ou dados da DigiCert precisam seguir políticas e procedimentos de tratamento de dados adequado, como a Política de Segurança de Informações, o Código de Conduta e a Política de Uso Aceitável da DigiCert.
11. Controles de acesso de terceiros – Os contratos da DigiCert com terceiros que podem acessar os sistemas ou dados da DigiCert abordam requisitos de segurança e privacidade de forma adequada. Esses terceiros também estão sujeitos a uma avaliação do impacto da segurança e privacidade, e os riscos são mitigados antes do acesso.
12. Proteção de dados em armazenamento e transmissão – Todos os dados armazenados em sistemas da DigiCert são criptografados usando-se uma codificação recomendada no setor. Da mesma forma, todos os dados transmitidos em sistemas da DigiCert por todo o mundo são criptografados em trânsito usando-se uma codificação recomendada no setor.
13. Armazenamento, retenção e exclusão – As informações armazenadas em meio físico ou eletrônico têm os controles técnicos apropriados determinados pelo nível de classificação de dados. As informações são excluídas segundo nossos CP/CPS e avisos de privacidade aplicáveis.