Descrição da segurança dos serviços

1. Esta Visão Geral de Segurança está incorporada aos Termos de Serviço da Keybe e faz parte deles, conforme estabelecido nos termos e condições aceitos pelo Cliente, ou em um Contrato principal de vendas assinado, ou em outro contrato escrito semelhante celebrado entre a Keybe e o Cliente, que denominamos “Contrato”. Nesta Descrição de Segurança dos Serviços da Keybe (“Descrição de Segurança”), as referências à “Keybe” designarão, em conjunto, a KEYBE INC., 2915 Biscayne Blvd. Suite 300 Miami, FL 33137, e suas Afiliadas. O termo “Cliente” designará você, o Cliente, e suas Afiliadas.
2. Objetivo. A Keybe tem o compromisso de preservar a confiança do cliente. O objetivo desta Descrição de Segurança é descrever o programa de segurança dos Serviços da Keybe (“Serviços”). Esta Descrição de Segurança descreve os padrões mínimos de segurança que a Keybe mantém para proteger os Dados do Cliente (conforme definidos no Contrato) contra uso, acesso, divulgação, roubo ou manipulação não autorizados. Além desta Descrição de Segurança, a documentação de segurança da API da Keybe. À medida que as ameaças à segurança mudam e evoluem, a Keybe continua atualizando seu programa e sua estratégia de segurança para ajudar a proteger os Dados do Cliente. A Keybe se reserva o direito de atualizar esta Descrição de Segurança periodicamente; em qualquer caso, nenhuma atualização reduzirá de forma substancial as proteções gerais estabelecidas nesta Descrição de Segurança. Qualquer termo iniciado em letra maiúscula que não esteja definido nesta Descrição de Segurança terá o significado atribuído no Acordo de Privacidade
3. Serviços abrangidos. Esta Descrição de Segurança descreve a arquitetura, os controles administrativos, técnicos e físicos e as certificações de auditoria de segurança realizadas por terceiros aplicáveis aos Serviços. As Ofertas Beta e quaisquer serviços prestados por provedores de telecomunicações envolvidos no roteamento, por provedores de serviços diversos e na conexão das comunicações do Cliente não estão abrangidos por esta Descrição de Segurança.
4. Organização e programa de segurança. A Keybe mantém um programa de avaliação de segurança baseado em riscos. A estrutura do programa de segurança da Keybe inclui salvaguardas administrativas, técnicas e físicas razoavelmente concebidas para proteger a confidencialidade, a integridade e a disponibilidade dos dados do cliente. O programa de segurança da Keybe pretende ser adequado à natureza dos Serviços prestados, ao porte e à complexidade das operações comerciais da Keybe. A Keybe conta com uma equipe dedicada à gestão do programa de segurança. Essa equipe facilita e apoia auditorias e avaliações independentes realizadas por terceiros. A estrutura de segurança da Keybe baseia-se no Sistema de Gestão de Segurança da Informação ISO 27001 , atualmente em processo de certificação, e inclui programas que abrangem: Políticas e Procedimentos, Gestão de Ativos, Gestão de Acessos, Criptografia, Segurança Física, Segurança das Operações, Segurança das Comunicações, Segurança da Continuidade dos Negócios, Segurança de Pessoas, Segurança de Produtos, Segurança da Infraestrutura de Nuvem e de Rede, Conformidade de Segurança, Segurança de Terceiros, Gestão de Vulnerabilidades, além de Supervisão de Segurança e Resposta a Incidentes. A segurança está representada nos mais altos níveis da empresa: o Head of Trust and Safety da Keybe se reúne regularmente com o Conselho de Administração para discutir questões e coordenar iniciativas de segurança em toda a empresa. As políticas e os padrões de segurança da informação são revisados e aprovados pela administração pelo menos uma vez por ano e ficam disponíveis para consulta por todos os colaboradores da Keybe.
   1. Confidencialidade. A Keybe dispõe de controles para preservar a confidencialidade dos Dados do Cliente que o Cliente disponibiliza aos Serviços, nos termos do Contrato. Todos os colaboradores e o pessoal contratado da Keybe estão vinculados a políticas internas e a um contrato assinado no que se refere à preservação da confidencialidade dos dados do cliente, e estão contratualmente obrigados a cumprir essas obrigações. Além disso, a Keybe realiza verificações independentes das condutas e dos procedimentos de seus colaboradores e fornecedores.
5. Segurança de pessoas.
   1. Verificação de antecedentes dos colaboradores. A Keybe realiza verificações de antecedentes das pessoas que ingressam na empresa, de acordo com a legislação local aplicável. Atualmente, a Keybe verifica a formação acadêmica e os empregos anteriores da pessoa, além de checar referências. Quando permitido pela legislação trabalhista local ou por normas legais, e dependendo da função ou do cargo do candidato, a Keybe também poderá realizar verificações criminais, de crédito, migratórias e de segurança.
   2. Treinamento dos colaboradores. Pelo menos uma vez por ano, todos os colaboradores da Keybe devem concluir o treinamento de segurança e privacidade, que abrange as políticas de segurança, as boas práticas de segurança e os princípios de privacidade. Colaboradores em licença podem ter prazo adicional para concluir esse treinamento anual. A equipe de segurança dedicada da Keybe também realiza campanhas de conscientização sobre phishing e comunica aos colaboradores as ameaças emergentes. A Keybe também disponibiliza um canal de denúncia anônima para que os colaboradores relatem qualquer conduta antiética, nos locais em que a denúncia anônima seja legalmente permitida.
6. Gestão de fornecedores terceirizados
   1. Avaliação de fornecedores. A Keybe poderá utilizar fornecedores terceirizados para prestar os Serviços. Antes de iniciar a relação com potenciais fornecedores, a Keybe realiza uma avaliação de segurança baseada em riscos para confirmar que eles atendem aos requisitos de segurança. A Keybe revisa periodicamente cada fornecedor à luz dos padrões de continuidade dos negócios e de segurança da Keybe, incluindo o tipo de acesso e a classificação dos dados acessados, os controles necessários para proteger esses dados e os requisitos legais e regulatórios. A Keybe garante que os dados do cliente sejam devolvidos e/ou excluídos ao término da relação com o fornecedor. Para evitar dúvidas, os provedores de telecomunicações não são considerados subcontratados da Keybe.
   2. Contratos com fornecedores. A Keybe celebra contratos escritos com todos os seus fornecedores, que incluem obrigações de confidencialidade, privacidade e segurança capazes de assegurar um nível adequado de proteção aos dados pessoais contidos nos dados do cliente que esses fornecedores possam tratar. A Keybe realiza, de forma contínua, verificações e avaliações das práticas de seus fornecedores pelo menos uma vez por ano.
7. Arquitetura e segregação de dados. A plataforma de comunicação em nuvem dos Serviços da Keybe está hospedada no Google Cloud Platform (“GCP”). A infraestrutura de data centers do GCP utilizada atualmente para prestar os Serviços da Keybe está localizada nos Estados Unidos. Mais informações sobre a segurança oferecida pelo GCP podem ser obtidas na página de segurança disponível em https://cloud.google.com/security. O ambiente de produção da Keybe no GCP, onde estão localizados os dados do cliente e os aplicativos voltados aos clientes, é uma nuvem privada virtual (VPC) logicamente isolada.
8. Projeto de segurança da infraestrutura. A Keybe baseia-se no projeto de segurança do GCP e o utiliza. Você pode consultar as informações em https://cloud.google.com/security/infrastructure/design
9. Controles de acesso.
   1. Concessão de acessos. Para minimizar o risco de exposição de dados, a Keybe segue o princípio do menor privilégio, por meio de um modelo de controle de acesso baseado em equipes, ao conceder acessos ao sistema. O pessoal da Keybe é autorizado a acessar os dados do cliente com base em sua função, cargo e responsabilidades, e esse acesso exige a aprovação do diretor da área à qual o colaborador pertence. Os direitos de acesso aos ambientes de produção são revisados pelo menos semestralmente. O acesso de um colaborador aos Dados do Cliente é removido rapidamente após o término do vínculo empregatício. Para acessar o ambiente de produção, o usuário autorizado deve ter nome de usuário e senha exclusivos, autenticação multifator e estar conectado à rede privada virtual (VPN) da Keybe. Antes que um engenheiro receba acesso ao ambiente de produção, o acesso deve ser aprovado pela administração, e o engenheiro deve concluir um treinamento interno para esse acesso, incluindo treinamento sobre os sistemas da equipe correspondente. A Keybe registra as ações de alto risco e as alterações no ambiente de produção. A Keybe utiliza automação para identificar quaisquer desvios em relação aos padrões técnicos internos que possam indicar atividade anômala ou não autorizada, emitindo um alerta poucos minutos após uma alteração de configuração.
      1. Controles de senhas. A política atual da Keybe para a gestão das senhas dos colaboradores segue o guia NIST 800-63B e, por isso, nossa política consiste em utilizar senhas mais longas, com autenticação multifator, sem exigir caracteres especiais nem trocas frequentes. Quando um cliente faz login em sua conta Keybe, a Keybe aplica hash às credenciais do usuário antes de armazená-las. O cliente também pode exigir que seus usuários adicionem uma camada extra de segurança à conta por meio da autenticação de dois fatores (2FA).
      2. Gestão de mudanças. A Keybe possui um processo formal de gestão de mudanças para administrar as alterações em software, aplicativos e software de sistema que serão implantadas no ambiente de produção. As solicitações de mudança são documentadas em um sistema de registro formal e auditável. Antes da execução de uma mudança de alto risco, é realizada uma avaliação que considera o impacto e o risco da mudança solicitada, testes de validação da mudança, a aprovação da implantação em produção pelos aprovadores competentes e os procedimentos de reversão. As mudanças são revisadas e testadas antes de entrarem em produção.
10. Secure Socket Layer. A Keybe utiliza SSL (Secure Socket Layer), a tecnologia de segurança padrão para estabelecer um vínculo criptografado entre os servidores web da Keybe e um navegador. Esse vínculo seguro garante que todos os dados transferidos permaneçam privados. Também é chamado de TLS (Transport Layer Security). Você encontra as informações completas em: https://www.cloudflare.com/ssl/
11. Web Application Firewall (WAF). Cada solicitação ao WAF é inspecionada pelo mecanismo de regras e pela inteligência de ameaças obtida com a proteção de cerca de 25 milhões de sites. Solicitações suspeitas podem ser bloqueadas, contestadas ou registradas conforme as necessidades da Keybe, enquanto as solicitações legítimas são encaminhadas ao destino, esteja ele em instalações locais ou na nuvem. As informações completas sobre o serviço estão disponíveis em: https://www.cloudflare.com/waf/
12. Gestão de vulnerabilidades. A Keybe mantém controles e políticas para mitigar o risco de vulnerabilidades de segurança em um prazo mensurável, que equilibra o risco e os requisitos operacionais e de negócio. A Keybe utiliza uma ferramenta de terceiros reconhecida para realizar varreduras periódicas de vulnerabilidades na infraestrutura de nuvem e nos sistemas corporativos da Keybe. Os patches críticos de software são avaliados, testados e aplicados de forma proativa. Nos serviços da Keybe, os patches do sistema operacional são aplicados por meio da reconstrução de uma imagem base de máquina virtual e implantados em todos os nós do cluster de acordo com um cronograma predefinido. No caso de patches de alto risco, a Keybe fará a implantação diretamente nos nós existentes por meio de ferramentas de orquestração desenvolvidas internamente.
13. Testes de penetração. A Keybe realiza testes de penetração e contrata entidades terceiras independentes para executar testes de penetração no nível da aplicação. Os resultados dos testes de penetração são rapidamente priorizados, triados e corrigidos pela equipe de segurança da Keybe.
    1. Gestão de incidentes de segurança. A Keybe mantém políticas e procedimentos de gestão de incidentes de segurança em conformidade com a NIST SP 800-61. A Equipe de Resposta a Incidentes de Segurança da Keybe avalia a ameaça representada por todas as vulnerabilidades ou incidentes de segurança relevantes e define ações de correção e mitigação para todos os eventos. A Keybe mantém os registros de segurança por 360 dias. O acesso a esses registros de segurança é restrito exclusivamente à alta administração. A Keybe utiliza ferramentas e serviços de terceiros para detectar, mitigar e ajudar a prevenir ataques distribuídos de negação de serviço (DDoS).
14. Descoberta, investigação e notificação de incidente de segurança. Ao descobrir ou ser notificada de qualquer incidente de segurança, a Keybe:
    1. Investigará prontamente o referido Incidente de Segurança.
    2. Na medida permitida pela legislação aplicável, notificará prontamente o Cliente. O Cliente receberá uma notificação no e-mail associado à conta Keybe.
    3. Adotará as medidas necessárias e as medidas corretivas para resolver o incidente o mais rápido possível.
15. Resiliência e continuidade do serviço. A infraestrutura da Keybe utiliza diversas ferramentas e mecanismos para alcançar alta disponibilidade e resiliência. A infraestrutura abrange várias Zonas de Disponibilidade do GCP, independentes entre si em caso de falhas, localizadas em regiões geográficas fisicamente separadas. Nos serviços da Keybe, há recursos manuais ou automáticos para redirecionar e regenerar hosts dentro da infraestrutura da Keybe. A infraestrutura é capaz de detectar e contornar, em tempo real, problemas enfrentados por hosts ou até por data centers inteiros, e emprega ferramentas de orquestração capazes de regenerar hosts, reconstruindo-os a partir do backup mais recente. A Keybe utiliza ferramentas especializadas que monitoram o desempenho dos servidores, os dados e a capacidade de carga de tráfego em cada Zona de Disponibilidade e data center de colocation. Se for detectado desempenho abaixo do ideal ou sobrecarga de capacidade em um servidor de uma Zona de Disponibilidade ou de um data center de colocation, essas ferramentas especializadas aumentarão a capacidade ou redistribuirão o tráfego para atenuar o desempenho abaixo do ideal ou a sobrecarga de capacidade. A Keybe conta com notificações de diferentes níveis, que funcionam de forma imediata, e tem capacidade de agir de imediato para corrigir as causas desses problemas caso as ferramentas especializadas não consigam fazê-lo.
16. Backup e recuperação. A Keybe faz backup periódico das informações de conta, registros, gravações, chats, documentos e outros dados críticos utilizando o armazenamento em nuvem do GCP. Os dados de backup são preservados de forma redundante entre as Zonas de Disponibilidade e criptografados em trânsito e em repouso com criptografia do lado do servidor de 256 bits, no padrão Advanced Encryption Standard (AES-256).