Introdução
As políticas e práticas de segurança da The Latent buscam garantir o cumprimento de todas as leis e regulamentos aplicáveis e das nossas obrigações contratuais. Também buscam assegurar a confidencialidade e a integridade dos nossos dados, bem como a disponibilidade dos serviços que prestamos.
Políticas
As políticas de segurança da The Latent se aplicam a todos os funcionários (em tempo integral ou parcial), estagiários e contratados. Todas as políticas são aprovadas pela liderança e revisadas anualmente. Mantemos políticas que cobrem gestão de mudanças, fornecedores terceiros, uso aceitável e gestão de riscos, entre outros temas.
Autenticação e autorização
Todas as contas de usuário exigem senhas complexas (mínimo de 10 caracteres) e autenticação multifator.
O acesso a recursos segue o princípio do menor privilégio e é concedido por um processo de gestão de mudanças. Acessos que não são necessários a longo prazo são revogados.
Treinamentos
Todos os novos contratados recebem um treinamento inicial de segurança. Todos os funcionários recebem microtreinamentos mensais sobre temas rotativos. Simulações educativas de phishing são realizadas mensalmente. Outros treinamentos ocorrem de forma contínua.
Ambientes
Os ambientes de teste e produção são logicamente separados. Usuários corporativos não têm acesso a teste nem a produção. Cada fronteira é protegida por um firewall que limita portas e serviços aos necessários. O acesso aos ambientes é baseado em necessidade de negócio.
Gestão de mudanças
Todas as mudanças em produção e concessões de acesso sensíveis passam por um processo de gestão de mudanças, com segregação de funções. Todas as solicitações são revisadas independentemente do status de aprovação. Há também um processo de emergência para mudanças urgentes fora do horário.
Segurança de e-mail
Um firewall de e-mail verifica anexos em busca de malware e bloqueia mensagens suspeitas. Os servidores de e-mail tentam negociar criptografia se o servidor do remetente também a suportar. O e-mail conta com um botão “reportar phishing” que permite aos funcionários alertar a equipe de segurança sobre qualquer mensagem que tenha passado pelo firewall.
Varredura de vulnerabilidades
A infraestrutura de produção é varrida mensalmente. As vulnerabilidades identificadas são tratadas conforme o nível de criticidade.
Criptografia
Todos os dados de nível confidencial ou superior são criptografados em repouso (AES-256) e em trânsito (TLS 1.2 ou superior).
Gestão de fornecedores
Fornecedores que armazenam, processam ou transmitem dados confidenciais ou de nível superior recebem uma avaliação de risco da equipe de segurança.
São avaliadas a postura de segurança, os termos de serviço e as práticas de privacidade do fornecedor.
Contato
Para dúvidas de segurança ou relatos responsáveis de vulnerabilidades, escreva para security@thelatent.co.