No local de trabalho

Controlamos o acesso aos nossos recursos (edifícios, infraestrutura e instalações), que inclui o consumo, entrada e utilização através de cartões de acesso. Fornecemos aos funcionários, contratados, fornecedores e visitantes diferentes cartões de acesso que permitem apenas o acesso que corresponde exclusivamente ao objetivo de entrada nas instalações. A equipe de Recursos Humanos (RH) estabelece e mantém os objetivos específicos relacionados às funções. Mantemos registros de acesso para detectar e corrigir anormalidades.

Nos centros de dados

Em nossos centros de dados, um provedor de co-localização assume a responsabilidade pela construção, refrigeração, energia e segurança física, enquanto fornecemos os servidores e o armazenamento. O acesso aos centros de dados é limitado a um pequeno grupo de pessoas autorizadas. Qualquer outro acesso é gerado como um ticket e somente será permitido após a aprovação dos respectivos gerentes. Para se entrar nas instalações a autenticação de dois fatores e autenticação biométrica adicionais são necessárias. No caso de um incidente, estão disponíveis logs de acesso, registros de atividades e imagens de câmera.

Monitoramento

Monitoramos todos os movimentos de entrada e saída de nossas instalações em todos os nossos centros de negócios e centros de dados usando câmeras instaladas de acordo com as regulamentações locais. A filmagem de backup está disponível por um período de tempo, dependendo dos requisitos para este local.

Segurança por design

Toda mudança e novo recurso são regulamentados por uma política de gerenciamento de mudanças para garantir que todas as mudanças na aplicação sejam autorizadas antes de serem implementadas na produção. Nosso Ciclo de Vida de Desenvolvimento de Software (SDLC) exige aderência com as diretrizes de codificação segura e a revisão das alterações de código para possíveis problemas de segurança, através de nossas ferramentas de análise, scanners de vulnerabilidade e processos de revisão manual.

Nossa estrutura de segurança é robusta e baseada nos padrões OWASP, implementada na camada de aplicações, fornece funcionalidades para mitigar ameaças como injeção de SQL, erro de scripts entre sites e ataques DOS na camada de aplicações.

Isolamento de dados

Nossa estrutura distribui e mantém espaço em nuvem para os nossos clientes. Os serviços de dados de cada cliente são separados logicamente dos dados de outros clientes usando uma série de protocolos seguros na estrutura. Isso garante que nenhum serviço de dados esteja acessível para outro cliente.

Eles são armazenados em nossos servidores quando você usa nossos serviços. Seus dados pertencem a você e não à Zoho. Não compartilhamos esses dados com terceiros sem o seu consentimento.

Criptografia

Em trânsito: Todos os dados do cliente transmitidos aos nossos servidores através de redes públicas são protegidos por fortes protocolos de criptografia. Exigimos que todas as conexões com nossos servidores usem criptografia TLS 1.2/1.3 (Transport Layer Security), com cifras fortes para todas as conexões, incluindo acesso à Web, acesso à API, nossas aplicações móveis e acesso ao cliente de e-mail IMAP/POP/SMTP. Isso garante uma conexão segura, permitindo a autenticação de ambas as partes envolvidas na conexão e a criptografia na transmissão de dados. Além disso, nossos serviços de e-mail usam protocolos TLS oportunista por padrão. Ele criptografa e entrega e-mails com segurança, reduzindo a interceptação entre os servidores de correio para os quais os serviços de mesmo nível suportam esse protocolo.

Temos suporte total para o PFS (Perfect Forward Secrecy) com nossas conexões criptografadas e isso garante que, mesmo que de alguma forma sejamos comprometidos no futuro, nenhuma comunicação anterior poderá ser descriptografada. Habilitamos o cabeçalho HTTP - Segurança Restrita de Transporte (HSTS) para todas as nossas conexões da web. Isso indica que todos os navegadores modernos se conectam a nós, apenas por meio de uma conexão criptografada, mesmo se você inserir um URL em uma página não segura em nosso site. Também marcamos todos os nossos cookies de autenticação como seguros na Web.

Em repouso: Os dados sensíveis do cliente em repouso são criptografados usando o Advanced Encryption Standard (AES) de 256 bits. Os dados criptografados em repouso variam de acordo com os serviços que você optar. Nós possuímos e mantemos as chaves usando nosso Serviço de Gerenciamento de Chaves (KMS) interno. Fornecemos camadas adicionais de segurança criptografando as chaves de criptografia de dados usando chaves mestras. As chaves mestras e as chaves de criptografia de dados são fisicamente separadas e armazenadas em diferentes servidores com acesso limitado.

Por favor, clique aqui para informação detalhada sobre criptografia na Zoho e refina a tabela abaixo para entender que tipo de dados criptografamos em nossos serviços.

Retenção e descarte de dados

Enquanto você usar os serviços em nuvem da ManageEngine, armazenamos os dados em sua conta. Encerrada sua conta de usuário Zoho, seus dados serão excluídos do banco de dados ativo durante a próxima limpeza, que ocorre a cada 6 meses. Os dados excluídos do banco de dados ativo serão excluídos dos backups após 3 meses. No caso de sua conta não paga ficar inativa por um período ininterrupto de 120 dias, nós a encerraremos após aviso prévio e com a opção de fazermos backup de seus dados.

Um fornecedor certificado e autorizado descarta dispositivos inutilizáveis. Até lá, categorizamos e armazenamos em um local seguro. Todas as informações contidas nos dispositivos são formatadas antes do descarte. Desmagnetizamos os discos rígidos e os destruímos fisicamente usando um triturador. Excluímos e destruímos os SSDs - Dispositivos de estado sólido, com falhas.

Registro e monitoramento

Monitoramos e analisamos informações de serviços, tráfego interno de dados em nossa rede e o uso de dispositivos e terminais. Registramos essas informações na forma de logs de eventos, logs de monitoramento, erros, administrador e operador. Esses logs são monitorados e analisados automaticamente em uma extensão apropriada para identificar anomalias, como atividades incomuns nas contas dos funcionários ou tentativas de acesso aos dados do cliente. Armazenamos-os um servidor seguro, isolado do acesso total ao sistema para gerenciar centralmente o controle e garantir disponibilidade.

Em todos os serviços em nuvem da ManageEngine, os clientes possuem logs de auditoria detalhados que cobrem todos as operações de atualização e exclusão executados pelo usuário.

Gerenciamento de vulnerabilidades

Temos um processo dedicado de gerenciamento de vulnerabilidades que procura ativamente ameaças à segurança usando uma combinação de ferramentas de verificação certificadas de terceiros e ferramentas internas, bem como testes de penetração manuais e automatizados. Além disso, nossa equipe de segurança analisa ativamente os relatórios de entrada e monitora listas de discussão públicas, postagens de blog e wikis para identificar incidentes que podem afetar a infraestrutura da empresa.

Identificada uma vulnerabilidade que precisa ser tratada, ela é registrada, priorizada de acordo com a gravidade e atribuída a um proprietário. Continuamos a identificar os riscos envolvidos e rastrear a vulnerabilidade até que ela seja encerrada, aplicando patches nos sistemas com vulnerabilidades ou usando os controles relevantes.

Detecção de malware e spam

Verificamos todos os arquivos de usuário com o nosso sistema automatizado, o que impede a propagação de malware no ecossistema Zoho. Nosso mecanismo antimalware personalizado recebe regularmente atualizações de informações de ameaças externas e arquivos de listas negras com base em assinaturas e padrões maliciosos. Além disso, nosso mecanismo de detecção proprietário, combinado com técnicas de aprendizado de máquina, garante que os dados do cliente sejam protegidos contra malware.

A Zoho Corporation suporta autenticação, geração de relatórios e conformidade de mensagens baseadas em domínio (DMARC) para evitar spam. DMARC usa SPF e DKIM para verificar a autenticidade das mensagens. Também usamos nosso mecanismo de detecção proprietário para identificar abusos dos serviços em nuvem da ManageEngine, como atividades de phishing e spam. Também temos uma equipe especial de antispam que monitora os sinais do software e processa reclamações de abuso. Para mais informações, clique aqui

Backup

Executamos backups incrementais diários e backups completos semanais de nossos bancos de dados usando Zoho Admin Console (ZAC) para os DCs da ManageEngine. Os dados de backup no DC são armazenados no mesmo local e criptografados usando o algoritmo AES-265 bit. Nós os armazenamos no formato tar.gz. Todos os dados de backup são mantidos por um período de três meses. Se um cliente solicitar a recuperação de dados dentro do período de retenção, iremos restaurá-los e fornecer acesso seguro a eles. O cronograma para restauração de dados depende do tamanho dos dados e da complexidade envolvida.

Para garantir a segurança dos dados de backup, usamos uma matriz redundante de discos independentes (RAID) nos servidores de backup. Todos os backups são agendados e monitorados regularmente. Em caso de falha, uma nova execução é iniciada e corrigida imediatamente. As verificações de integridade e validação dos backups completos são feitas automaticamente pela ferramenta ZAC. Do seu lado, é altamente recomendável agendar backups regulares de seus dados, exportando-os dos respectivos serviços Zoho e armazenando-os localmente em sua infraestrutura.

Recuperação de desastres e continuidade dos negócios

Os dados das aplicações são armazenados em uma memória resiliente que é replicada nos centros de dados. Os dados no controlador de domínio primário são replicados quase em tempo real no controlador de domínio secundário. Em caso de falha do CD primário, o CD secundário assume o controle e as operações continuam sem problemas, com perda mínima ou nenhuma de tempo. Ambos os centros estão equipados com múltiplos ISPs.

Temos sistemas de energia de emergência, controle de temperatura e proteção contra incêndio como medidas físicas para garantir a continuidade dos negócios. Essas medidas nos ajudam a obter resiliência. Além da redundância de dados, temos um plano para nossas principais atividades, como suporte e gerenciamento de infraestrutura.

Existe um programa de relatório de vulnerabilidade “Bug Bounty”, da comunidade de pesquisadores, que reconhece e recompensa o trabalho dos pesquisadores de segurança. Estamos comprometidos em trabalhar com a comunidade para revisar, reproduzir, responder, legitimar e implementar soluções apropriadas para as vulnerabilidades relatadas.

Se você encontrar algum problema, envie-os para https://bugbounty.zohocorp.com. Se você deseja relatar vulnerabilidades diretamente para nós, envie um e-mail para security@manageengine.com.

A segurança dos seus dados é um direito seu e uma missão sem fim da Zoho. Continuaremos a trabalhar duro para manter seus dados seguros, como sempre fizemos. Para qualquer outra dúvida sobre este tópico, dê uma olhada em nossas FAQs ou escreva para security@manageengine.com.