Übersicht

Die Sicherheit der Daten unserer Kunden hat für uns höchste Priorität. Diese Sicherheitsübersicht bietet einen allgemeinen Überblick über die Sicherheitspraktiken, die implementiert wurden, um dieses Ziel zu erreichen.
Haben Sie Fragen oder Anmerkungen? Kontaktieren Sie uns gerne unter [E-Mail geschützt]

Engagiertes Sicherheitsteam

Unser Sicherheitsteam besteht aus Sicherheitsexperten, die sich der Verbesserung der Sicherheit unserer Organisation verschrieben haben. Unsere Mitarbeiter sind in der Reaktion auf Sicherheitsvorfälle geschult und stehen rund um die Uhr zur Verfügung.

Die Infrastruktur

Cloud-Infrastruktur

Alle unsere Dienste laufen in der Cloud. Wir hosten oder betreiben keine eigenen Router, Load Balancer, DNS-Server oder physischen Server.
Unser Service basiert auf Oracle Cloud. Sie bieten starke Sicherheitsmaßnahmen zum Schutz unserer Infrastruktur und erfüllen die meisten Zertifizierungen. Hier können Sie mehr über ihre Praktiken lesen:
- Oracle Cloud

Sicherheit im Rechenzentrum

Unser Rechenzentrum befindet sich in Brasilien. Es handelt sich um eine Tier IV-, PCI DSS- und ISO 27001-konforme Installation.
Unsere Server sind physisch von anderen Rechenzentrumskunden getrennt.
Die Einrichtungen des Rechenzentrums sind rund um die Uhr mit verschiedenen Sicherheitsmaßnahmen (Wachpersonal, Videoüberwachung, elektronische Zugangskontrolle usw.) gesichert. Überwachung und Alarmierung bei Sicherheits-, Strom-, HLK- und Temperaturverletzungen sind vorhanden.

Überwachung und Schutz der Sicherheit auf Netzwerkebene

Unsere Netzwerksicherheitsarchitektur besteht aus mehreren Sicherheitszonen. Wir überwachen und sichern unser Netzwerk, um sicherzustellen, dass kein unbefugter Zugriff erfolgt, indem wir Folgendes verwenden:
– Eine Virtual Private Cloud (VPC), Bastion Host oder VPN mit Network Access Control Lists (ACLs) und ohne öffentliche IP-Adressen.
– Eine Firewall, die den eingehenden und ausgehenden Netzwerkverkehr überwacht und steuert.
– IP-Adressfilterung

DDoS-Schutz

Wir verwenden Distributed Denial of Service (DDoS)-Abwehrdienste, die von einer branchenführenden Lösung unterstützt werden.

Datenverschlüsselung

Verschlüsselung während der Übertragung: Alle Daten, die an oder von unserer Infrastruktur gesendet werden, werden während der Übertragung verschlüsselt, wobei branchenübliche Best Practices mit Transport Layer Security (TLS) verwendet werden. Sie können unseren Bericht sehen SSLLabs.
Verschlüsselung im Ruhezustand: Alle unsere Benutzerdaten (einschließlich Passwörter) werden mit datenbankerprobten Verschlüsselungsalgorithmen verschlüsselt.

Aufbewahrung und Entfernung von Daten

Wir bewahren Ihre Nutzungsdaten für einen Zeitraum von 90 Tagen auf. Alle Daten werden vollständig vom Dashboard und Server entfernt.
Jeder Benutzer kann die Entfernung von Nutzungsdaten anfordern, indem er sich an den Support wendet.
Lesen Sie mehr über unsere Datenschutzeinstellungen unter Datenschutzrichtlinie von AgênciaColors.

Geschäftskontinuität und Notfallwiederherstellung

Wir sichern alle unsere kritischen Assets und versuchen, das Backup regelmäßig wiederherzustellen, um eine schnelle Notfallwiederherstellung zu gewährleisten. Alle unsere Backups sind verschlüsselt.

Überwachung der Anwendungssicherheit

– Wir verwenden eine Sicherheitsüberwachungslösung, um Einblick in unsere Anwendungssicherheit zu erhalten, Angriffe zu identifizieren und schnell auf eine Datenschutzverletzung zu reagieren.
– Wir verwenden Technologien zur Überwachung von Ausnahmen, Protokollen und Erkennung von Anomalien in unseren Anwendungen.
– Wir sammeln und speichern Protokolle, um einen Audit-Trail der Aktivitäten für unsere Anwendungen bereitzustellen.
– Wir nutzen Monitoring als offenes Tracking in unseren Microservices.

Anwendungssicherheitsschutz

– Wir verwenden ein Laufzeitschutzsystem, das OWASP Top 10- und Geschäftslogik-Angriffe in Echtzeit erkennt und blockiert.
– Wir verwenden Sicherheitsheader, um unsere Benutzer vor Angriffen zu schützen. Sie können unseren Hinweis dazu überprüfen Sicherheitsscanner.
– Wir verwenden Sicherheitsautomatisierung, Funktionen, die Bedrohungen, die auf unsere Anwendungen abzielen, automatisch erkennen und darauf reagieren.

Sichere Entwicklung

Wir entwickeln folgende Best Practices und Sicherheitsframeworks (OWASP Top 10, SANS Top 25). Wir verwenden die folgenden Best Practices, um das höchste Maß an Sicherheit in unserer Software zu gewährleisten:
– Entwickler nehmen an regelmäßigen Sicherheitsschulungen teil, um mehr über häufige Schwachstellen und Bedrohungen zu erfahren
– Wir überprüfen unseren Code auf Sicherheitslücken
– Wir aktualisieren unsere Abhängigkeiten regelmäßig und stellen sicher, dass keine davon bekannte Schwachstellen aufweist
– Wir verwenden statische Anwendungssicherheitstests (SAST), um grundlegende Sicherheitslücken in unserer Codebasis zu erkennen
– Wir verwenden dynamische Anwendungssicherheitstests (DAST), um unsere Anwendungen zu überprüfen
– Wir verlassen uns auf Sicherheitsexperten von Drittanbietern, um jährlich Penetrationstests unserer Anwendungen durchzuführen.

Verantwortungsvolle Offenlegung

Wir ermutigen jeden, der eine verantwortungsvolle Offenlegung praktiziert und sich an unsere Richtlinien und Nutzungsbedingungen hält, an unserem Bug-Bounty-Programm teilzunehmen.
Vermeiden Sie automatisierte Tests und führen Sie Sicherheitstests nur mit Ihren eigenen Daten durch. Bitte geben Sie keine Informationen über die Schwachstellen frei, bis wir sie behoben haben. Prämien werden nach unserem Ermessen je nach Kritikalität der gemeldeten Schwachstelle vergeben.

Sie können Schwachstellen melden, indem Sie Kontakt mit uns aufnehmen [E-Mail geschützt]. Fügen Sie einen Proof of Concept hinzu. Wir werden so schnell wie möglich auf Ihre Einreichung reagieren und keine rechtlichen Schritte einleiten, wenn Sie sich an die Regeln halten.

Zielgruppe
– agenciacolors.digital/*

Ausschlüsse
– *.agenciacolors.digital
– *.agenciacolors.tech

Die akzeptierten Schwachstellen sind wie folgt:
– Cross-Site-Scripting (XSS)
– Weiterleitung öffnen
– Cross-Site Request Forgery (CSRF)
– Einbindung von Befehl/Datei/URL
– Authentifizierungsprobleme
– Codeausführung
– Code- oder Datenbankinjektionen

Dieses Bug-Bounty-Programm NO beinhaltet:
– Beenden Sie CSRF
– Konto-/E-Mail-Aufzählungen
– Denial-of-Service (DoS)
– Angriffe, die die Zuverlässigkeit/Integrität unseres Unternehmens beeinträchtigen könnten
– Spam-Angriffe
– Clickjacking auf Seiten ohne Authentifizierung und/oder sensible Zustandsänderungen
– Warnungen vor gemischten Inhalten
– Mangel an DNSSEC
– Inhaltsspoofing / Textinjektion
– Timing-Angriffe
- Soziale Entwicklung
- Phishing
– Unsichere Cookies für nicht sensible Cookies oder Cookies von Drittanbietern
– Schwachstellen, die eine äußerst unwahrscheinliche Benutzerinteraktion erfordern
– Exploits, die physischen Zugriff auf den Computer eines Benutzers erfordern

Benutzerschutz

2-Faktor-Authentifizierung: Wir bieten einen 2-Faktor-Authentifizierungsmechanismus, um unsere Benutzer vor Kontoübernahmeangriffen zu schützen. Das Konfigurieren dieser zusätzlichen Sicherheitsmaßnahme ist optional, wird jedoch dringend empfohlen, um die Sicherheit sensibler Daten zu erhöhen.

Schutz vor Kontoübernahmen: Wir schützen unsere Benutzer vor Datenschutzverletzungen, indem wir Brute-Force-Angriffe überwachen und blockieren.

Einmalige Anmeldung: Single Sign-On (SSO) wird für unsere Unternehmenskunden angeboten.

Rollenbasierte Zugriffskontrolle: Rollenbasierte Zugriffskontrolle (RBAC) wird für alle unsere Konten angeboten und ermöglicht unseren Benutzern, Rollen und Berechtigungen zu definieren.

Compliance

DSGVO/LGPD

Wir sind DSGVO/LGPD-konform. Der Zweck der DSGVO/LGPD besteht darin, die privaten Informationen von Bürgern der Europäischen Union und Brasiliens zu schützen und ihnen mehr Kontrolle über ihre personenbezogenen Daten zu geben. Bitte kontaktieren Sie uns für weitere Informationen darüber, wie wir die DSGVO/LGPD einhalten.

Zahlungsinformationen

Die gesamte Verarbeitung von Zahlungsinstrumenten wird sicher an Stripe und GerenciaNet ausgelagert, die als PCI-Dienstleister der Stufe 1 zertifiziert sind.Wir erfassen keine Zahlungsinformationen und unterliegen daher keinen PCI-Verpflichtungen.

Mitarbeiterzugang

– Unser strenges internes Verfahren verhindert, dass Mitarbeiter oder Administratoren Zugriff auf Benutzerdaten haben. Begrenzte Ausnahmen können für den Kundensupport gemacht werden.
– Alle unsere Mitarbeiter unterschreiben a Geheimhaltungs- und Vertraulichkeitsvereinbarung indem Sie dem Unternehmen beitreten, um die vertraulichen Informationen unserer Kunden zu schützen.