Segurança
Segurança da infraestrutura
Infraestrutura de serviço mantida
O Revo mantém a infraestrutura que suporta o serviço atualizada como parte da manutenção rotineira e como resultado de vulnerabilidades identificadas, para garantir que os servidores estejam protegidos contra ameaças de segurança.
Sistema de detecção de intrusão utilizado
O Revo utiliza um sistema de detecção de intrusão para fornecer monitoramento contínuo da rede e detecção precoce de possíveis violações de segurança.
Acesso ao banco de dados de produção restrito
O Revo restringe o acesso privilegiado a bancos de dados a usuários autorizados com necessidade de negócio.
MFA obrigatório para acesso remoto
Os sistemas de produção do Revo só podem ser acessados remotamente por funcionários autorizados com método válido de autenticação multifator (MFA).
Acesso à rede de produção restrito
O Revo restringe o acesso privilegiado à rede de produção a usuários autorizados com necessidade de negócio.
Autenticação única no banco de dados obrigatória
O Revo exige autenticação nos repositórios de dados de produção usando mecanismos seguros autorizados, como chave SSH única.
Criptografia obrigatória para acesso remoto
Os sistemas de produção do Revo só podem ser acessados remotamente por funcionários autorizados via conexão criptografada aprovada.
Acesso a chaves de criptografia restrito
O Revo restringe o acesso privilegiado a chaves de criptografia a usuários autorizados com necessidade de negócio.
Dados de produção segmentados
O Revo proíbe, por política, que dados confidenciais de clientes sejam usados ou armazenados em sistemas/ambientes de não produção.
Desempenho da infraestrutura monitorado
Uma ferramenta de monitoramento de infraestrutura é utilizada para monitorar sistemas, infraestrutura e desempenho, gerando alertas quando limites pré-definidos são atingidos.
Acesso à aplicação de produção restrito
O Revo restringe o acesso privilegiado à aplicação a usuários autorizados com necessidade de negócio.
Procedimentos de controle de acesso estabelecidos
A política de controle de acesso do Revo documenta os requisitos para adição, modificação e/ou remoção de acesso de usuários.
Gerenciamento de logs utilizado
O Revo utiliza uma ferramenta de gerenciamento de logs para identificar eventos que possam impactar a capacidade de atingir seus objetivos de segurança.
Segmentação de rede implementada
A rede do Revo é segmentada para prevenir acesso não autorizado aos dados de clientes.
Autenticação única no sistema de rede obrigatória
O Revo exige autenticação na rede de produção usando nomes de usuário e senhas únicas ou chaves SSH autorizadas.
Acesso ao firewall restrito
O Revo restringe o acesso privilegiado ao firewall a usuários autorizados com necessidade de negócio.
Segurança organizacional
Mídias portáteis criptografadas
O Revo criptografa dispositivos de mídia portáteis e removíveis quando utilizados.
Tecnologia anti-malware utilizada
O Revo implementa tecnologia anti-malware em ambientes susceptíveis a ataques maliciosos, configurada para atualização rotineira e instalada em todos os sistemas relevantes.
Verificação de antecedentes realizada
O Revo realiza verificação de antecedentes em novos funcionários.
Sistema MDM utilizado
O Revo possui um sistema de gerenciamento de dispositivos móveis (MDM) para gerenciar centralmente os dispositivos móveis que suportam o serviço.
Política de senhas aplicada
O Revo exige que as senhas dos componentes do sistema sejam configuradas de acordo com a política da empresa.
Treinamento de conscientização de segurança implementado
O Revo exige que os funcionários completem o treinamento de segurança dentro de trinta dias da contratação e pelo menos anualmente depois.
Acordo de confidencialidade assinado por terceiros
O Revo exige que terceiros assinem um acordo de confidencialidade no momento da contratação.
Inventário de produção mantido
O Revo mantém um inventário formal dos ativos do sistema de produção.
Acordo de confidencialidade assinado por funcionários
O Revo exige que os funcionários assinem um acordo de confidencialidade durante o onboarding.
Procedimentos de descarte de ativos utilizados
O Revo purga ou destrói mídias eletrônicas contendo informações confidenciais de acordo com as melhores práticas, e certificados de destruição são emitidos para cada dispositivo destruído.
Segurança do produto
Testes de penetração realizados
Os testes de penetração do Revo são realizados pelo menos anualmente. Um plano de remediação é desenvolvido e as mudanças são implementadas de acordo com os SLAs.
Criptografia de dados utilizada
Os repositórios de dados do Revo que armazenam dados sensíveis de clientes são criptografados em repouso.
Transmissão de dados criptografada
O Revo usa protocolos de transmissão seguros para criptografar dados confidenciais quando transmitidos por redes públicas.
Atividade do sistema registrada
O Revo captura a atividade do sistema, incluindo atividade do usuário, em logs de transação.
Procedimentos de monitoramento de vulnerabilidades estabelecidos
As políticas formais do Revo definem os requisitos para gerenciamento de vulnerabilidades e monitoramento de sistemas.
Procedimentos internos de segurança
Vulnerabilidades escaneadas e remediadas
Varreduras de vulnerabilidades são realizadas pelo menos trimestralmente em todos os sistemas externos. Vulnerabilidades críticas e altas são rastreadas até a remediação.
Revisões de acesso conduzidas
O Revo conduz revisões de acesso pelo menos trimestralmente para garantir que o acesso seja restrito adequadamente.
Solicitações de acesso obrigatórias
O Revo garante que o acesso dos usuários seja baseado em função e cargo ou requer formulário de solicitação documentado e aprovação do gestor.
Acesso à implantação em produção restrito
O Revo restringe o acesso para migrar mudanças em produção a pessoal autorizado.
Programa de gestão de fornecedores estabelecido
O Revo possui um programa de gestão de fornecedores que inclui: inventário de fornecedores críticos, requisitos de segurança e privacidade, e revisão anual.
Políticas de resposta a incidentes estabelecidas
O Revo possui políticas e procedimentos de resposta a incidentes de segurança e privacidade documentados e comunicados aos usuários autorizados.
Procedimentos de gestão de mudanças aplicados
O Revo exige que mudanças em software e infraestrutura sejam autorizadas, documentadas, testadas, revisadas e aprovadas antes da implementação em produção.
Sistema de gestão de configuração estabelecido
O Revo possui um procedimento de gestão de configuração para garantir que as configurações do sistema sejam implantadas de forma consistente.
Funções e responsabilidades da gestão definidas
A gestão do Revo estabeleceu funções e responsabilidades definidas para supervisionar o design e implementação dos controles de segurança da informação.
Políticas de segurança estabelecidas e revisadas
As políticas e procedimentos de segurança da informação do Revo são documentados e revisados pelo menos anualmente.
Funções e responsabilidades especificadas
Funções e responsabilidades para design, desenvolvimento, implementação, operação, manutenção e monitoramento dos controles de segurança são formalmente atribuídas.
Acesso ao data center revisado
O Revo revisa o acesso aos data centers pelo menos anualmente.
Processos de acesso físico estabelecidos
O Revo possui processos para concessão, alteração e encerramento de acesso físico aos data centers da empresa.
Acordos com terceiros estabelecidos
O Revo possui acordos escritos com fornecedores e terceiros, incluindo compromissos de confidencialidade e privacidade.
Procedimentos de gestão de incidentes seguidos
Os incidentes de segurança e privacidade do Revo são registrados, rastreados, resolvidos e comunicados às partes relevantes.
Ciclo de vida de desenvolvimento estabelecido
O Revo possui uma metodologia formal de ciclo de vida de desenvolvimento de sistemas (SDLC) que governa o desenvolvimento, aquisição, implementação e manutenção de sistemas de informação.
Seguro de cibersegurança mantido
O Revo mantém seguro de cibersegurança para mitigar o impacto financeiro de interrupções.
Planos de continuidade e recuperação de desastres estabelecidos
O Revo possui Planos de Continuidade de Negócios e Recuperação de Desastres com planos de comunicação para manter a segurança da informação.
Dados e privacidade
Política de privacidade estabelecida
O Revo possui uma política de privacidade que documenta e comunica claramente a extensão das informações pessoais coletadas, as obrigações do Revo e os direitos dos indivíduos.
Procedimentos de retenção de dados estabelecidos
O Revo possui procedimentos formais de retenção e descarte para guiar a retenção e o descarte seguro dos dados da empresa e dos clientes.
Procedimentos de conformidade de privacidade estabelecidos
O Revo possui processos documentados para garantir que reclamações relacionadas à privacidade sejam tratadas e a resolução seja documentada e comunicada ao indivíduo.
Dados de clientes retidos
O Revo retém dados de transações dos clientes durante a vida da conta. Nenhum dado histórico é purgado até que a conta seja excluída.
Política de privacidade disponível
O Revo disponibiliza a política de privacidade para clientes, funcionários e/ou terceiros relevantes antes e/ou no momento da coleta de informações.
Política de privacidade revisada
O Revo revisa a política de privacidade conforme necessário e a atualiza para garantir conformidade com leis e regulamentos aplicáveis.
Política de privacidade mantida
O Revo estabeleceu uma política de privacidade que usa linguagem clara e simples, é datada e fornece informações sobre práticas de coleta e processamento de informações pessoais.
Política de classificação de dados estabelecida
O Revo possui uma política de classificação de dados para garantir que dados confidenciais sejam adequadamente protegidos e restritos ao pessoal autorizado.