A missão do MD Group é ajudar empresas a alcançar ambientes de trabalho mais seguros e de maior qualidade em todo o mundo por meio de produtos móveis inovadores. Fazemos isso por meio do nosso aplicativo Software-as-a-Service (SaaS) Qvalon.
Temos orgulho de que o MD Group seja reconhecido como líder mundial em produtos que promovem segurança e qualidade, e sabemos o quanto nosso papel é importante para ajudar nossos clientes a melhorar suas operações do dia a dia.
Consideramos nossa abordagem à cibersegurança um pilar fundamental para manter nossa posição de liderança neste setor, e esta página apresenta uma visão geral de como abordamos a cibersegurança como organização.
O MD Group possui um programa ativo, robusto e em constante aprimoramento de cibersegurança para garantir que nossa organização e os produtos que oferecemos estejam protegidos. O programa de cibersegurança do MD Group emprega diversos controles em nível técnico e operacional para garantir uma abordagem eficaz de defesa em profundidade contra ataques cibernéticos e para proteger os dados tratados pelo nosso aplicativo SaaS Qvalon.
Os principais recursos incluem:
O conteúdo abaixo apresenta uma visão geral das diversas partes do nosso programa de segurança.
Nossa abordagem à segurança está focada em alinhar-se às melhores práticas recomendadas em padrões reconhecidos, como os frameworks NIST, ISO27001 e SOC.
O MD Group possui um conjunto documentado de políticas e procedimentos que define nossa abordagem à segurança como organização. Essas políticas e procedimentos são compartilhados com toda a equipe e revisados e atualizados pelo menos anualmente (e com maior frequência, se forem necessárias alterações significativas) para garantir que nossa abordagem à segurança permaneça atualizada.
Focamos em garantir a responsabilização pela segurança em toda a empresa. Para isso, temos um fórum de gestão de segurança da informação formado por stakeholders-chave de todo o MD Group, que se reúne regularmente para revisar e discutir assuntos relacionados à segurança e tomar decisões que influenciem nossa abordagem à cibersegurança.
Garantimos que o acesso aos sistemas em nosso ambiente de TI, incluindo as plataformas em nuvem que utilizamos, seja restrito aos funcionários que especificamente necessitam desse acesso para seu trabalho.
Todo acesso administrativo exige autenticação multifator, e os funcionários que acessam nosso ambiente devem utilizar uma solução VPN aprovada.
As permissões de acesso aos nossos sistemas são revisadas regularmente, funcionário por funcionário, e modificadas prontamente. Como parte do nosso processo de offboarding, todo o acesso a sistemas e serviços de funcionários que deixam a empresa é revogado.
Revisamos cuidadosamente as práticas de segurança dos terceiros com quem trabalhamos — inicialmente e de forma contínua — para garantir que suas práticas atendam aos padrões do setor e estejam em conformidade com nossas próprias políticas e procedimentos de privacidade e segurança. Se um terceiro precisar de acesso aos nossos sistemas, garantimos que esse acesso seja limitado especificamente à finalidade para a qual foi contratado.
Como o Microsoft Azure (Azure) é um dos nossos principais provedores, trabalhamos com ele utilizando o Modelo de Responsabilidade Compartilhada para segurança e conformidade, garantindo uma definição clara de quem assume a responsabilidade por cada aspecto relacionado à segurança. O Azure é credenciado e compatível com um grande número dos mais recentes padrões do setor — mais informações podem ser encontradas aqui.
Para o processamento de dados financeiros e de cartão de crédito, o MD Group utiliza diversos parceiros (Stripe) cujas práticas de segurança estão em conformidade com o Payment Card Industry Data Security Standard (PCI-DSS).
As redes corporativas do MD Group são protegidas com firewalls, bem como tecnologia IDS e IPS na perimetria (fornecida por dispositivos de segurança Mikrotik gerenciados dedicados), para que possamos detectar e proteger contra qualquer tráfego malicioso.
Para nossa plataforma baseada em nuvem, utilizamos principalmente o Azure, que oferece uma estratégia em múltiplas camadas para se defender de ataques externos. Em nível de infraestrutura, o Azure emprega estratégias como controle de acesso a dispositivos de rede, segregação de dados usando firewalls e nuvens privadas virtuais para filtrar tráfego malicioso, além de utilizar registro e monitoramento extensivos para prevenir ataques baseados em rede. Em nível de aplicação, aproveitamos os Azure Firewalls para prevenir ataques baseados na web e ataques de negação de serviço (DoS) contra nossos produtos.
O MD Group utiliza um sistema centralizado de registro que inclui eventos de auditoria de acesso a aplicações. Esses registros são mantidos por 90 dias. Também utilizamos os logs do Azure para rastrear solicitações de acesso a serviços. Os logs armazenados no Azure não podem ser modificados. O acesso é restrito àqueles que necessitam dele para suas funções. Reconhecemos a importância de revisar os logs regularmente para identificar atividade maliciosa de usuários e possíveis vulnerabilidades em nossos produtos; estamos incorporando isso como parte do nosso programa de segurança.
Todo o pessoal do MD Group passa por treinamento regular de conscientização em segurança, tanto para funções técnicas quanto não técnicas. Materiais de treinamento em segurança também são desenvolvidos para funcionários individuais, quando necessário, para garantir que estejam preparados para lidar com os requisitos específicos de suas funções orientadas à segurança.
A aplicação de patches em nosso ambiente de TI é uma das medidas mais fundamentalmente importantes que podemos adotar para permanecer seguros contra uma possível violação de segurança. Para isso:
O MD Group leva a segurança dos dados de nossos clientes muito a sério. Adotamos diversas medidas para garantir que os dados dos clientes sejam cuidadosamente protegidos.
O MD Group adota diversas medidas para ajudar a proteger os dados dos clientes contra acesso ou uso inadequado por pessoas não autorizadas (externas ou internas). Os dados dos clientes são armazenados apenas em nosso ambiente de produção, e o acesso a esses dados por funcionários do MD Group é limitado apenas aos funcionários que necessitam de acesso para desempenhar suas funções padrão. O acesso aos dados dos clientes é gerenciado usando ferramentas de controle de acesso e autenticação (incluindo o uso de autenticação de dois fatores) fornecidas pelo Azure e nossos outros parceiros em nuvem.
Os dados dos clientes são utilizados apenas para finalidades compatíveis com a prestação dos serviços contratados, como solução de problemas em solicitações de suporte técnico. Para detalhes completos, consulte a Política de Privacidade do MD Group.
No raro caso de funcionários de suporte do MD Group precisarem acessar a totalidade dos dados de um cliente específico, o MD Group sempre exigirá o consentimento do cliente antes de acessar esses dados.
Não armazenamos nem fazemos cache de dados financeiros dos clientes utilizados em conjunto com a cobrança pela plataforma MD Group, e nossos funcionários não têm acesso direto aos dados de faturamento.
Todos os dados dos clientes são hospedados em infraestrutura fornecida pelo Azure, que mantém a segurança física de suas instalações usando controles de melhores práticas do setor, conforme descrito em seus whitepapers de segurança.
Nenhum dado de cliente é armazenado em qualquer um dos nossos escritórios físicos.
O MD Group possui mecanismos para garantir que os dados de nossos clientes sejam protegidos tanto em repouso quanto em trânsito. Em repouso, todos os dados dos clientes são criptografados usando AES-256 com chaves gerenciadas pelo Azure Key Management Service. Todos os dados são armazenados com segurança e estão sujeitos às políticas e procedimentos de segurança do Azure.
Para proteger dados em trânsito, o MD Group utiliza Transport Layer Security e impõe um padrão mínimo de TLS v1.2 usando chaves de cifra de 128 bits. Suportamos conexões com chaves de cifra de até 256 bits para uso com cifra Advanced Encryption Standard (AES).
Os dados do MD Group são copiados em intervalos regulares para soluções de armazenamento de dados criptografados e distintas fornecidas pelo Azure. Os backups são replicados para múltiplas instalações do Azure na região escolhida pelo cliente.
O acesso aos backups de dados é restrito apenas a funcionários específicos do MD Group para os quais esse acesso é necessário como parte de suas funções.
Os dados de nossos clientes são armazenados principalmente no Azure e estão sujeitos aos procedimentos de exclusão e descarte do Azure. Esses procedimentos incluem um processo seguro para apagar logicamente mídias desativadas. A mídia apagada é então inspecionada para garantir a destruição bem-sucedida dos dados.
Qualquer hardware de propriedade do MD Group que contenha dados confidenciais — incluindo backups do MD Group — está sujeito à destruição lógica de dados conforme padrões do setor antes do reciclagem. Sempre que possível, o MD Group utilizará criptografia AES-256 GCM em quaisquer cópias digitais.
Reconhecemos que, para a maioria dos clientes, a principal experiência com o MD Group será por meio do nosso produto Qvalon. A segurança forma uma parte importante da forma como este produto é desenvolvido e opera, conforme discutido abaixo.
Como parte do nosso processo de desenvolvimento de produtos, cada alteração de código é revisada antes da liberação de quaisquer mudanças em produção, o que inclui a observância das melhores práticas de segurança. Também segregamos nossos ambientes de desenvolvimento, teste e produção.
Todas as alterações nos produtos do MD Group são testadas ativamente durante seu desenvolvimento para garantir que o impacto nos usuários finais seja avaliado antes da implantação, e quaisquer alterações significativas são incluídas nas notas de versão de produção.
O MD Group emprega rastreamento de mudanças e controle de versão para monitorar e gerenciar ativamente as alterações na base de código de nossos produtos.
Trabalhamos arduamente para minimizar o número de vulnerabilidades que surgem em nossos produtos, e reconhecemos que é importante adotar medidas proativas para corrigir quaisquer vulnerabilidades o mais rapidamente possível. Para isso, o MD Group monitora e testa ativamente vulnerabilidades em nossas aplicações. Mantemos um programa privado de bug bounty, reconhecendo que uma comunidade de pesquisadores de segurança independentes incentivados a testar nossos produtos de forma contínua para identificar possíveis problemas apenas fortalecerá a segurança de nossos produtos.
Quando uma vulnerabilidade é identificada (interna ou externamente), o problema é rastreado e priorizado de acordo com a gravidade potencial do impacto para o cliente. Os tempos de resolução dependerão da gravidade e podem incluir trabalho ininterrupto por nossos desenvolvedores até que o problema seja corrigido.
Patches para vulnerabilidades identificadas são desenvolvidos e liberados no ambiente de produção por meio de um processo de integração contínua (CI/CD) e aplicados o mais rápido possível.
Embora façamos o possível para prevenir incidentes de segurança, reconhecemos que também precisamos estar preparados para lidar com esses incidentes caso ocorram, a fim de minimizar qualquer impacto potencial para nossos clientes e para o MD Group. Temos diversas medidas em vigor, incluindo:
O MD Group alertará prontamente os clientes afetados sobre incidentes graves que impactem a disponibilidade dos serviços ou dados do MD Group, bem como quaisquer incidentes que afetem a confidencialidade e integridade dos dados dos usuários, conforme nossa Política de Privacidade do MD Group.
O MD Group considera a cibersegurança uma parte fundamental do nosso negócio e dos produtos que fornecemos a empresas em todo o mundo. Embora os controles e medidas que temos em vigor se estendam significativamente além do que é abordado aqui, esta página foi projetada para fornecer uma compreensão geral da abordagem multifacetada que adotamos e do nosso compromisso com a segurança.
Se você tiver alguma dúvida sobre o conteúdo ou precisar de mais informações sobre nossa abordagem a suporte, segurança ou privacidade, entre em contato conosco pelos dados abaixo:
info@qvalon.com