1. introdução.

A MonoM está fortemente empenhada na segurança da informação. A fim de proporcionar às empresas e aos seus utilizadores uma experiência segura, a sua solução é construída aplicando princípios universalmente aceites pela indústria.

Todos os novos desenvolvimentos levados a cabo pela equipa MonoM aplicam princípios como a privacidade desde a conceção e a minimização. Uma parte considerável do esforço da equipa de qualidade da empresa é despendida em testes de segurança. Além disso, a solução é construída numa nuvem pública, GCP, que possui os mais elevados padrões de cibersegurança.

b. Adequação dos controlos ao nível de risco
Os controlos de segurança podem ser definidos com base nos níveis de risco aceitáveis do fornecedor de SaaS (software como serviço). Qualquer controlo sobre o acesso, o tratamento e a monitorização dos dados terá inevitavelmente um impacto no desempenho do sistema, pelo que é necessário encontrar um equilíbrio. A equipa MonoM conseguiu encontrar uma solução que oferece um desempenho e uma segurança óptimos. Para o efeito, são utilizados protocolos e ferramentas seguros oferecidos pelos fornecedores de serviços em nuvem para ajudar neste objetivo.

c. Controlos eficazes da gestão da identidade e do acesso
As ferramentas de gestão da identidade e do acesso (IAM) provam que os utilizadores são quem é suposto serem. Existe um requisito fundamental para que os utilizadores de SaaS possam integrar-se nas ferramentas de IAM. Os utilizadores empresariais não querem uma palavra-passe diferente sempre que acedem a outra parte de uma plataforma de toda a empresa. Um controlo de acesso sofisticado que determine quem acedeu a quê e quando é um elemento essencial em qualquer sistema IAM. No MonoM, usamos o Firebase para atender a esse requisito.

d. Registo e monitorização
É fundamental registar todas as tentativas de acesso ao sistema SaaS, tanto as que falharam como as que foram bem sucedidas. O mesmo se aplica a quaisquer alterações de dados. Esta atividade é essencial para mitigar as violações de dados e para estabelecer futuros planos de segurança. No MonoM, utilizamos registos Firebase que nos permitem registar e alertar sobre tentativas de acesso.

e. Cofres seguros
O MonoM utiliza o kubernetes como PaaS, e uma destas funcionalidades é o kubernetes secret, que permite armazenar e encriptar chaves de forma segura.

f. Ciclo de vida de desenvolvimento de software com prioridade à segurança
Como já foi referido, para a equipa MonoM, a segurança começa na fase de conceção, traduzindo as melhores práticas de segurança ao longo do ciclo de desenvolvimento e terminando com os testes de segurança realizados pela equipa de qualidade. Além disso, a solução foi auditada por uma empresa terceira especializada em auditoria e cibersegurança.

g. Gestão de dados
No que respeita à segurança da informação, a plataforma aplica os princípios fundamentais de integridade, disponibilidade e confidencialidade.

• Integridade
  O MonoM garante que a informação está correcta e não foi modificada, e que os dados permanecem exatamente como foram gerados, sem qualquer manipulação ou alteração por parte de terceiros.
• Disponibilidade
  A MonoM assegura que o acesso à informação é efectuado através dos canais adequados e de acordo com os processos apropriados.
• Confidencialidade
  A MonoM garante que as informações não podem ser divulgadas a pessoas ou sistemas não autorizados.

Segurança do Google Cloud.

O Google Cloud é submetido a análises independentes de segurança, privacidade e conformidade para ajudar os clientes a cumprir os objectivos regulamentares e políticos. Informações detalhadas sobre todas as garantias de conformidade com as normas ISO/IEC 27001, 27017, 27018 e 27701; SOC 1, 2 e 3; PCI DSS e VPAT (WCAG, secção 508 dos EUA, EN 301 549); bem como certificações FedRAMP; HIPAA; GDPR; e CCPA, entre outras regulamentações, podem ser encontradas na Central de recursos do Google.

Ref: https://cloud.google.com/security/compliance/offerings

RGPD

O Regulamento Geral sobre a Proteção de Dados (GDPR) é uma legislação sobre privacidade que substituiu a Diretiva 95/46/CE relativa à proteção de dados de 24 de outubro de 1995, em 25 de maio de 2018. O RGPD estabelece requisitos específicos para as empresas e organizações estabelecidas na Europa ou que servem utilizadores na Europa. É:

• Regula a forma como as empresas podem recolher, utilizar e armazenar dados pessoais
• Baseia-se na documentação atual e nos requisitos de informação para aumentar a responsabilidade
• Autoriza a aplicação de coimas às empresas que não cumpram os seus requisitos

O Google Cloud defende iniciativas que dão prioridade e melhoram a segurança e a privacidade dos dados pessoais dos clientes e permite que os clientes se sintam confiantes ao utilizar os nossos serviços à luz dos requisitos do RGPD. O Google Cloud apoiará os esforços de conformidade com o GDPR por meio de:

• Contratos de compromisso para cumprir o RGPD em relação ao processamento de dados pessoais do cliente em todos os serviços do Google Cloud e do Google Workspace
• Oferecer características de segurança adicionais que possam ajudar a proteger melhor os dados pessoais mais sensíveis
• Fornecer a documentação e os recursos necessários para ajudar na avaliação da privacidade
• Continuar a desenvolver as nossas capacidades à medida que o panorama regulamentar se altera

Na MonoM, utilizamos os produtos e serviços GCP para oferecer aos nossos clientes um quadro de segurança que lhes permite operar com as máximas garantias.

Alguns dos produtos que utilizamos são: Bigquery para armazenamento de dados, que nos permite aplicar políticas de acesso aos dados, verificar sempre a sua integridade e disponibilidade, pub/sub para enviar mensagens de forma segura e garantir a entrega, armazenamento como um sistema de ficheiros distribuído ou o PaaS kubernetes gerido. Além disso, toda a infraestrutura é gerida pela Google, que se encarrega dos patches e das actualizações de segurança das máquinas e dos produtos, o que permite à equipa MonoM concentrar os seus esforços em fornecer um maior valor acrescentado aos seus clientes. A gestão de utilizadores é centralizada no Firebase.

Por fim, utilizamos os serviços de segurança fornecidos pela Google que monitorizam ativamente a saúde da DMZ.