Proteção de Dados do Lead Gen & CRM: Visão Geral da Segurança da Informação

Última atualização: 6 de novembro de 2024


Este artigo é destinado a clientes diretos do Lead Gen & CRM, parceiros de agências e potenciais prospects. Os parceiros de agências devem usar as informações contidas neste documento para responder a perguntas básicas de segurança que seus clientes possam ter.

Conteúdo do Artigo

Usuários:
Administradores ✓
Gerentes de Empresa
Gerentes de Marketing
Gerentes de Vendas
Vendedores
Vendedores Jr.

Obsolescência da Informação

A Constant Contact fornece as informações contidas neste artigo de boa-fé e sem quaisquer garantias ou representações quanto à precisão ou completude das informações.

A Constant Contact exclui expressamente todas as garantias, condições e outros termos implícitos por lei; e toda a responsabilidade por perdas decorrentes da confiança de clientes, parceiros ou terceiros nas informações contidas neste artigo. Isso não afeta a responsabilidade da Constant Contact por fraude ou representação fraudulenta, ou qualquer outra responsabilidade que não possa ser excluída ou limitada de acordo com a legislação aplicável.

As informações neste artigo estão sujeitas a alterações a qualquer momento, e a Constant Contact se empenhará razoavelmente para atualizar essas informações regularmente.

Glossário

A tabela a seguir contém termos usados com proteção de dados na Constant Contact.

Termo Definição
ASV Fornecedores de Escaneamento Aprovados.
Dados do Titular do Cartão Esses dados incluem o Número da Conta Principal, Nome do Titular do Cartão, Código de Serviço e Data de Validade.
Dados Confidenciais do Cliente Informações recebidas de clientes de qualquer forma para processamento na produção pela Constant Contact. A cópia original dessas informações não deve ser alterada de nenhuma forma sem permissão por escrito do cliente. Os mais altos níveis possíveis de integridade, confidencialidade e disponibilidade restrita são vitais.
Dados Confidenciais da Empresa Informações coletadas e usadas pela Constant Contact na condução de seus negócios para empregar pessoas, registrar e atender pedidos de clientes e gerenciar todos os aspectos das finanças corporativas. O acesso a essas informações é muito restrito dentro da empresa. Os mais altos níveis possíveis de integridade, confidencialidade e disponibilidade restrita são vitais.
HIPAA A Lei de Portabilidade e Responsabilidade de Seguro de Saúde. Como o Lead Gen & CRM não armazena ou processa registros de saúde, a Constant Contact não é obrigada a estar em conformidade com a HIPAA. A Constant Contact não tem planos de se tornar compatível com a HIPAA.
PCI-DSS Padrão de Segurança de Dados da Indústria de Cartões de Pagamento.
Dados Pessoais Qualquer informação relacionada a uma pessoa física identificada ou identificável (também conhecida como sujeito de dados). Pessoas físicas são aquelas que podem ser identificadas—direta ou indiretamente—em particular por referência a um número de identificação ou a um ou mais fatores específicos de sua identidade física, fisiológica, mental, econômica, cultural ou social.
PII Informações Pessoalmente Identificáveis.
Proprietário Informações são restritas ao acesso interno aprovado pela gerência e protegidas contra acesso externo. O acesso não autorizado poderia influenciar a eficácia operacional da Constant Contact, causar uma perda financeira importante, proporcionar um ganho significativo a um concorrente ou causar uma grande queda na confiança dos clientes. A integridade das informações é vital.
Privacy Shield Uma estrutura de conformidade em torno da transferência de dados da UE para os EUA. O Privacy Shield UE-EUA é um substituto para o Safe Harbor.
QSA Avaliador de Segurança Qualificado.
Safe Harbor Os Princípios de Privacidade do Safe Harbor ou Princípios de Privacidade do Safe Harbor foram princípios desenvolvidos entre 1998 e 2000 para prevenir que organizações privadas dentro da União Europeia ou dos Estados Unidos que armazenam dados de clientes divulgassem ou perdessem acidentalmente informações pessoais.
Dados de Autenticação Sensíveis Esses dados incluem os Dados da Faixa Magnética Completa, CAV2/CVC2/CVV2/CID e PIN/Bloqueio de PIN.
SRE A engenharia de confiabilidade de sites (SRE) é uma disciplina que incorpora aspectos da engenharia de software e aplica isso a problemas de operações de TI. Os principais objetivos são criar sistemas de software ultra escaláveis e altamente confiáveis.
Público Não Classificado Informações não são confidenciais e podem ser tornadas públicas sem quaisquer implicações para a Constant Contact. A perda de disponibilidade devido a inatividade do sistema é um risco aceitável. A integridade é importante, mas não vital.

Padrões, Medidas Regulatórias e Conformidade

Constant Contact é regulamentada pela Comissão de Valores Mobiliários dos Estados Unidos e passa por auditorias anuais por um auditor terceirizado registrado para garantir a conformidade.

Em relação aos Padrões de Segurança de Dados da Indústria de Cartões de Pagamento (PCI-DSS), a Constant Contact utiliza os próprios serviços de processamento de pagamentos compatíveis com PCI da Authorize.net para aceitar, armazenar e processar todos os Dados do Portador do Cartão e todos os Dados Sensíveis de Autenticação. A única parte dos Dados do Portador do Cartão ou Dados Sensíveis de Autenticação que é armazenada nos servidores da Constant Contact é a seguinte:

  • Datas de validade
  • Informações de endereço
  • Nomes dos portadores do cartão

Após a conclusão pendente da auditoria emitida pelo avaliador de segurança qualificado (QSA) da Constant Contact sobre controles de segurança compatíveis com PCI, a Constant Contact fornecerá uma atestação de conformidade, escopo e a Matriz de Responsabilidade PCI da equipe interna de QSA e Conformidade. No entanto, a Constant Contact não divulgará o Relatório completo de conformidade PCI-DSS, pois conterá detalhes proprietários e comercialmente sensíveis dos processos de segurança da Constant Contact. A prova da própria conformidade PCI do provedor de serviços de processamento de pagamentos da Constant Contact é descrita em detalhes na documentação de Conformidade de Segurança da Authorize.net.

A Constant Contact não é compatível com a Lei de Portabilidade e Responsabilidade de Seguro de Saúde (HIPAA). Este padrão é exigido ao processar informações pessoalmente identificáveis relacionadas a informações de saúde do consumidor. Como norma, o Lead Gen & CRM não armazena esse tipo de dado. Como a Constant Contact não está na indústria regulamentada pelos padrões HIPAA, a Constant Contact não precisa de conformidade para operar.

Conformidade com o Regulamento Geral de Proteção de Dados

O Regulamento Geral de Proteção de Dados da União Europeia (GDPR) é uma lei que expande as leis de dados originais da União Europeia (a Diretiva de Proteção de Dados de 1995). A lei foi promulgada em 27 de abril de 2016 e implementada em 25 de maio de 2018. Assim, a Constant Contact atualizou termos, políticas de privacidade e infraestrutura para estar em total conformidade com o GDPR.

Proteção de Dados

A política da Constant Contact sobre a classificação e o manuseio seguro de dados é uma Política de Classificação de Informação definida que identifica todos os dados dos clientes como confidenciais. Ela também aborda os requisitos de marcação e manuseio de documentação.

Todos os dados sensíveis compartilhados entre a aplicação, extranet, pontos de rastreamento e servidores são transferidos usando protocolos de Transport Security Layer (TLS) com cifras atualizadas, utilizando (no mínimo) chaves de criptografia RSA de 256 bits. As credenciais são armazenadas em um formato criptografado em disco para evitar que os dados sejam comprometidos em caso de roubo de dados ou incidente de violação de dados.

A equipe da Constant Contact é treinada em questões de proteção de dados por meio de treinamento na primeira semana de trabalho. Além disso, há um treinamento anual contínuo de melhoria para os funcionários através do Programa de Conscientização de Segurança dos Funcionários. Existem numerosas políticas e procedimentos dentro da organização que impõem o dever e a responsabilidade pela proteção das informações pessoalmente identificáveis dos dados de clientes e agências para todos os funcionários, funcionários temporários, contratados e estagiários.

O dever de observar todas as políticas e procedimentos está descrito nas cartas de oferta de emprego da Constant Contact e é uma condição obrigatória de emprego na Constant Contact. As Informações Pessoalmente Identificáveis (PII) dos clientes da Constant Contact são rotuladas como Dados Confidenciais do Cliente, e essas obrigações de confidencialidade estão explicitamente estabelecidas nas cartas de oferta de emprego da Constant Contact. Essas obrigações de confidencialidade são uma condição obrigatória de emprego e também são aplicáveis após a rescisão.

Procedimentos estão em vigor para garantir a confiabilidade dos funcionários empregados. A competência dos funcionários da Constant Contact é um elemento chave do ambiente controlado. A Constant Contact está comprometida com o treinamento e desenvolvimento contínuos de seus funcionários. Esse compromisso com a competência é expresso nas políticas de pessoal da Constant Contact e em programas relacionados de recursos humanos. Indicadores específicos do compromisso com o desenvolvimento dos funcionários incluem políticas de recrutamento e contratação, investimento em treinamento e desenvolvimento, e monitoramento de desempenho.

O compromisso da Constant Contact com a competência começa com o recrutamento, que é uma responsabilidade conjunta do Departamento de Recursos Humanos e dos gerentes da unidade ou departamento de negócios. As decisões de contratação são baseadas em vários fatores: formação educacional, experiência relevante anterior, conquistas passadas e evidências de integridade e comportamento ético. Assim como em todas as políticas da Constant Contact, a violação da proteção de dados é uma ofensa disciplinar que pode resultar em demissões. Os funcionários da Constant Contact são mantidos atualizados sobre questões de segurança na indústria, bem como sobre ameaças específicas à empresa.

A equipe de tecnologia da informação (TI) da Constant Contact gerencia e rastreia todos os dispositivos e equipamentos fornecidos pela empresa. No momento da contratação, as estações de trabalho são fornecidas. A Constant Contact possui uma política de gerenciamento de ativos documentada, que é rigorosamente seguida.

Sistema de Gestão de Segurança da Informação

A Constant Contact realiza avaliações de risco em relação à confidencialidade, integridade e disponibilidade. Como parte do Constant Contact Security Framework, o impacto resultante da perda de confidencialidade, integridade e disponibilidade de ativos é avaliado como parte dos procedimentos de Gestão de Risco da organização.

A Constant Contact considera a disponibilidade da solução do cliente sob a perspectiva de tempo de atividade da rede e hardware, e a disponibilidade de serviços como de máxima importância. Os provedores de hospedagem da Constant Contact—Google Cloud Platform (GCP) e Amazon Web Services (AWS)—oferecem controles, processos e configurações particularmente robustos, visando garantir o máximo possível de tempo de atividade.

O Sistema de Gestão de Segurança da Informação (ISMS) da Constant Contact utiliza uma abordagem baseada em risco para implementar e monitorar controles de segurança onde os requisitos são considerados necessários. O Framework é continuamente ampliado e aprimorado por meio de políticas, controles e educação dos usuários. As etapas gerais que são repetidas e seguidas são as seguintes: PLANEJAR, FAZER, VERIFICAR, AGIR.

A Constant Contact não é certificada sob o framework ISO 27001 e, portanto, não pode fornecer prova de certificação. Dito isso, a Constant Contact atribui extrema importância à segurança de seus próprios dados e à extensão da mesma proteção como um serviço aos clientes. Cada aspecto da arquitetura da aplicação web da Constant Contact, design do produto, mecanismos de segurança e processos internos foi estabelecido de acordo com as especificações ISO/IEC 27001.

Lead Gen & CRM é hospedado quase inteiramente dentro do Google Cloud Platform e utiliza sua rede de Nuvem Privada Virtual. As únicas redes de interface são os escritórios da Constant Contact através de uma rede privada virtual (VPN) segura, que é estritamente controlada. A Constant Contact hospeda toda a sua arquitetura de servidor dentro dos data centers do Google Cloud Platform e utiliza serviços adicionais com a Amazon Web Services:

Política de Segurança da Informação do Lead Gen & CRM

Constant Contact possui uma Política de Segurança documentada—e políticas relacionadas—para manter a infraestrutura segura. Essas políticas geralmente não estão disponíveis para os clientes, uma vez que os documentos são classificados como proprietários de acordo com a Política de Classificação de Informação da Constant Contact. A Política de Segurança da Informação da Constant Contact é revisada, no mínimo, anualmente (ou mais cedo, caso ocorram mudanças significativas) para garantir sua precisão, adequação e eficácia contínuas. Para garantir que os dados dos clientes permaneçam seguros, a Constant Contact aborda as seguintes áreas críticas de segurança: segurança física, infraestrutura de rede e operações de segurança.

A Constant Contact proíbe o compartilhamento de políticas e documentação de procedimentos com clientes atuais ou potenciais. Todas as políticas da Constant Contact são consideradas informações proprietárias de acordo com a Política de Classificação de Informação da Constant Contact. Como tal, as informações contidas nesses documentos são consideradas proprietárias. Compartilhá-las poderia comprometer a segurança dos clientes e da infraestrutura.

A segurança da infraestrutura de rede é garantida por meio da implementação adequada de padrões de segurança do setor (autenticação, autorização, criptografia de alto nível, múltiplos controles de segurança, firewalls, filtros de pacotes, sistemas de detecção/prevenção de intrusões, monitoramento e auditoria contínuos). A segurança operacional da Constant Contact consiste em processos e políticas de negócios que seguem as melhores práticas de segurança para limitar o acesso a informações confidenciais e manter uma forte segurança ao longo do tempo.

Organização Interna

A engenharia de confiabilidade de site (SRE) e a segurança do sistema da Constant Contact apoiam ativamente a segurança da informação dentro da Constant Contact por meio de diretrizes claras, compromisso demonstrado, atribuição explícita e reconhecimento de suas responsabilidades de segurança da informação — e de todos os outros.

A Constant Contact atribuiu a responsabilidade pela segurança da informação à Equipe de Segurança da Informação. A Equipe de Segurança da Informação revisou e aprovou coletivamente o ISMS, que demonstra o compromisso com o estabelecimento, implementação, operação, monitoramento, revisão, manutenção e melhoria do ISMS. A Equipe de Segurança da Informação coordena com a Equipe Jurídica da Constant Contact para garantir a conformidade com todas as leis e regulamentos locais, estaduais e federais que afetam a Constant Contact. As equipes de Segurança e Jurídica se reúnem regularmente para discutir novas regulamentações que possam impactar a segurança da informação, seja em nível de cliente ou em nível corporativo. Além disso, a Constant Contact realiza auditorias internas regulares sobre operações e controles de segurança, processos e políticas. Os resultados dessas auditorias não estão disponíveis para partes externas.

No que diz respeito à revisão independente, a abordagem da Constant Contact para gerenciar a segurança da informação e sua implementação (como objetivos de controle, controles, políticas, regras, processos e procedimentos para segurança da informação) é revisada independentemente em intervalos planejados e quando ocorrem mudanças significativas na implementação de segurança. O ISMS da Constant Contact é auditado internamente anualmente, e uma equipe é responsável pelas avaliações de risco relacionadas à segurança da informação.

A Constant Contact realiza avaliações de risco em seus fornecedores e terceiros. Fornecedores terceirizados que são identificados como tendo um impacto na segurança da entrega de serviços da Constant Contact são avaliados. Aqueles fornecedores ou prestadores que são considerados como tendo um nível de risco suficientemente alto têm avaliações de risco formais realizadas anualmente para ajudar a reduzir o nível de risco do fornecedor. Essas avaliações são consideradas confidenciais de acordo com a Política de Classificação da Informação e não podem ser compartilhadas com os clientes.

Recursos Humanos

Os processos de segurança para novos contratados—como verificação de antecedentes, criação de contas de usuário e treinamento inicial de conscientização sobre segurança—são controlados por processos formais estabelecidos pelo Constant Contact ISMS. Da mesma forma, os processos formais de desligamento são documentados e seguidos. As atividades de rescisão, incluindo entrevistas de saída, revogação de privilégios de sistema, desativação de contas e recuperação de ativos de propriedade corporativa são controladas por processos formais estabelecidos pelo ISMS. As listas de acesso para sistemas críticos internos são revisadas periodicamente.

Constant Contact implementou processos e procedimentos de conscientização sobre segurança, que incluem pelo menos um boletim de conscientização sobre segurança semestral e treinamento obrigatório de conscientização sobre segurança. O Constant Contact entende a importância de como um funcionário pode ser alvo em um ataque, e essa mensagem ressoa em toda a empresa.

Alterações e atualizações na política de segurança são comunicadas a todos os funcionários por meio de e-mails em toda a empresa, boletins intranet e através de treinamentos de segurança semestrais. Os novos funcionários são informados sobre a Política de Segurança do Constant Contact durante a orientação dos funcionários, e cada funcionário assina um formulário de reconhecimento de segurança. Cada funcionário também está vinculado a obrigações estritas de confidencialidade, que estão incorporadas em um acordo de confidencialidade.

Técnicos de tecnologia da informação (TI) do Constant Contact estão disponíveis 24 horas por dia, 7 dias por semana, para lidar com quaisquer falhas críticas de sistema que possam surgir em sua infraestrutura de TI. Para atender às suas necessidades comerciais e garantir a continuidade dos serviços, os técnicos de TI do Constant Contact são certificados em várias áreas de especialização.

Segurança Física e Ambiental

Medidas de segurança física estão em vigor nos centros de dados e escritórios do Constant Contact. A segurança física da arquitetura do Constant Contact é garantida por meio de seus provedores de hospedagem em conformidade com a ISO 27001, Google e Amazon. Como o Constant Contact é hospedado inteiramente no Google, o Constant Contact não lida com armazenamento externo. O Constant Contact segue as melhores práticas para integridade e segurança de dados, incluindo um cronograma robusto de backup, restaurações testadas e backups fora do site para uma plataforma completamente diferente. Os backups fora do site são criptografados e armazenados.

O Constant Contact não utiliza um mainframe. No entanto, conforme mencionado acima, o Constant Contact utiliza várias distribuições de Linux dentro da infraestrutura da aplicação. O Constant Contact usa vários tipos de armazenamentos de dados, dependendo do propósito. Isso inclui uma mistura de MariaDB, MySQL, MongoDB, Redis e alguns armazenamentos de dados únicos para projetos internos, com a maioria sendo instâncias dedicadas de cada um. O Constant Contact não hospeda seus próprios servidores de nomes. O sistema de nomes de domínio (DNS) do Constant Contact é hospedado pela Google Cloud Platform. Para DNS interno, o Constant Contact possui alguns servidores bind usados por tráfego não produtivo. A maior parte do e-mail é enviada por meio de vários serviços de terceiros.

Backup de Dados e Monitoramento

A política de backup da Constant Contact exige backups completos dos dados dos clientes diariamente, com backups incrementais sendo realizados a cada hora. O período de retenção de dados para backups dos dados dos clientes da Constant Contact é de sete dias. A Constant Contact replica esses backups para um local fora do site em conformidade com sua própria política de recuperação de desastres. A Constant Contact se preocupa com os dados de seus clientes e implementou mecanismos de alta disponibilidade (HA) para reduzir a necessidade de recuperação. A Constant Contact faz um esforço máximo para reter os dados dos clientes. No entanto, a Constant Contact não oferece nenhuma garantia direta contra a perda de dados dos clientes.

Os procedimentos de backup da Constant Contact seguem as regras básicas da tríade CIA: confidencialidade, integridade e disponibilidade. Eles são verificados quanto à integridade, são criptografados, transferidos de forma segura e armazenados tanto em locais no site quanto fora do site. Esses backups são então verificados através de testes de reanimação.

A Constant Contact utiliza tecnologias de código aberto, como Zabbix e OpenVAS, para monitorar a disponibilidade de seus serviços, obter métricas de desempenho de aplicações web e realizar varreduras regulares de vulnerabilidades em sua infraestrutura crítica. A Constant Contact também reforça esses processos realizando testes de penetração regularmente em sua própria arquitetura. Os processos de monitoramento e alerta associados da Constant Contact são testados regularmente para garantir que a equipe do Centro de Operações de Rede (NOC) da Constant Contact seja notificada imediatamente ao ocorrer qualquer anomalia operacional ou interrupção de serviço.

Controle de Acesso

A Constant Contact mantém uma política interna de controle de acesso. A política de controle de acesso define procedimentos para a criação de novas contas de usuário do Lead Gen & CRM e adição de privilégios e direitos iniciais, bem como a alteração e remoção de privilégios de usuários do Lead Gen & CRM e a rescisão de contas de usuários do Lead Gen & CRM. As políticas de controle de acesso da Constant Contact são baseadas nos princípios do menor privilégio e da segregação de funções. A segregação é imposta por meio de políticas de controle de acesso baseadas em funções e controles técnicos. Redes locais virtuais (VLANs) também são utilizadas para fornecer segregação lógica de servidores, laptops e departamentos.

Além disso, a Constant Contact possui responsabilidades de segurança da informação claramente definidas, que estão documentadas na Política de Segurança da Informação da Constant Contact. Essas responsabilidades para procedimentos específicos de segurança da informação são claramente definidas e documentadas no ISMS.

No que diz respeito ao acesso remoto, a Constant Contact permite que os funcionários trabalhem remotamente para facilitar o equilíbrio entre vida profissional e pessoal de seus colaboradores. A Constant Contact permite o acesso remoto dos funcionários por meio de autenticação de rede privada virtual (VPN), que é segura via Segurança de Protocolo de Internet (IPSec). Uma política está em vigor para manter a segurança durante todo o processo de provisionamento de acesso remoto e para gerenciar preocupações de segurança ao interagir com a rede desmilitarizada (DMZ) da Constant Contact.

Desenvolvimento e Manutenção de Sistemas

A infraestrutura e os deployments de desenvolvimento da Constant Contact, incluindo alterações no código-fonte, são revisados por pares, testados pela equipe de Garantia de Qualidade (QA) e auditados antes de cada lançamento de teste e produção. Isso é feito para garantir consistência e testar potenciais vulnerabilidades e ameaças conhecidas para assegurar a estabilidade do produto, utilizando uma série de testes automatizados e manuais.

A Constant Contact testa minuciosamente o conteúdo que libera. Usando desenvolvimento orientado a comportamento e testes, a equipe de QA dedicada da Constant Contact realiza simulações em instâncias isoladas da aplicação para garantir que nenhum dado do cliente seja acidentalmente corrompido ou contaminado. Uma vez que os testes foram concluídos e aprovados, o Gerente de QA permite que o deployment seja mesclado na build principal, que é lançada como a instância atual ao vivo que os clientes verão.

Continuidade de Negócios e Recuperação de Desastres

O processo de gerenciamento de continuidade de negócios da Constant Contact para recuperação em caso de incidentes ou falhas no sistema envolve garantir que a infraestrutura de rede de suporte e os serviços ao cliente rapidamente retomem as operações normais após qualquer evento de interrupção de serviço. Os esforços de continuidade de negócios da Constant Contact são consistentes e refletem as melhores práticas da indústria.

Além disso, uma política de recuperação de desastres documentada está em vigor para todos os aspectos do negócio. Essas políticas e planos serão implementados nos programas de segurança e treinamento dos funcionários para 2018.

Elementos do Plano de Continuidade de Negócios e Recuperação de Desastres da Constant Contact são testados de forma escalonada para minimizar o potencial de impacto na entrega do serviço ao cliente. Os testes são realizados de acordo com um cronograma formal.

Avaliação e Gestão de Vulnerabilidades

A equipe de Avaliação de Vulnerabilidades da Constant Contact realiza auditorias internas usando uma combinação de ferramentas de padrão da indústria, tanto de código aberto quanto proprietárias—como OpenVAS e Nessus—para avaliar as pegadas de rede externa da plataforma Constant Contact. A Constant Contact proíbe avaliações de vulnerabilidades não autorizadas ou testes de penetração realizados nos serviços da Constant Contact, seja internamente ou externamente.

Outros artigos