نظرة عامة

إن الحفاظ على أمان بيانات عملائنا في جميع الأوقات هو أولويتنا القصوى. توفر هذه النظرة العامة على الأمان نظرة عامة عالية المستوى حول ممارسات الأمان التي تم تنفيذها لتحقيق هذا الهدف.
هل لديك أسئلة أو تعليقات؟ لا تتردد في الاتصال بنا على [البريد الإلكتروني محمي]

فريق أمن مخصص

يتكون فريق الأمان لدينا من خبراء أمنيين مكرسين لتحسين أمان مؤسستنا. يتم تدريب موظفينا على الاستجابة للحوادث الأمنية ومتواجدون على مدار الساعة طوال أيام الأسبوع.

البنية التحتية

البنية التحتية السحابية

تعمل جميع خدماتنا في السحابة. نحن لا نستضيف أو نشغل أجهزة التوجيه الخاصة بنا أو أرصدة التحميل أو خوادم DNS أو الخوادم الفعلية.
تعتمد خدمتنا على Oracle Cloud. أنها توفر تدابير أمنية قوية لحماية بنيتنا التحتية والامتثال لمعظم الشهادات. يمكنك قراءة المزيد عن ممارساتهم هنا:
- أوراكل كلاود

أمن مركز البيانات

يقع مركز البيانات لدينا في البرازيل. إنه تثبيت متوافق مع Tier IV و PCI DSS و ISO 27001.
خوادمنا منفصلة فعليًا عن عملاء مركز البيانات الآخرين.
مرافق مركز البيانات مؤمنة على مدار الساعة طوال أيام الأسبوع مع تدابير أمنية مختلفة (الحراس ، وكاميرات المراقبة ، والتحكم الإلكتروني في الوصول ، وما إلى ذلك). يتم إجراء المراقبة والتنبيه لانتهاكات الأمن والطاقة والتكييف ودرجة الحرارة.

مراقبة وحماية أمن مستوى الشبكة

تتكون بنية أمان الشبكة الخاصة بنا من مناطق أمان متعددة. نحن نراقب شبكتنا ونؤمنها لضمان عدم إجراء أي وصول غير مصرح به باستخدام:
- سحابة افتراضية خاصة (VPC) أو مضيف أساسي أو VPN مع قوائم التحكم في الوصول إلى الشبكة (ACL) ولا توجد عناوين IP عامة.
- جدار حماية يراقب ويتحكم في حركة مرور الشبكة الواردة والصادرة.
- تصفية عنوان IP

حماية DDoS

نحن نستخدم خدمات تخفيف رفض الخدمة الموزعة (DDoS) المدعومة بحل رائد في الصناعة.

تشفير البيانات

التشفير أثناء النقل: يتم تشفير جميع البيانات المرسلة من أو إلى بنيتنا التحتية أثناء النقل باستخدام أفضل الممارسات الصناعية باستخدام بروتوكول أمان طبقة النقل (TLS). تستطيع أن ترى تقريرنا SSLLabs.
التشفير غير نشط: يتم تشفير جميع بيانات المستخدم الخاصة بنا (بما في ذلك كلمات المرور) باستخدام خوارزميات التشفير المعتمدة في قاعدة البيانات.

الاحتفاظ بالبيانات وإزالتها

نحتفظ ببيانات الاستخدام الخاصة بك لمدة 90 يومًا. تتم إزالة جميع البيانات بالكامل من لوحة القيادة والخادم.
يمكن لكل مستخدم طلب إزالة بيانات الاستخدام عن طريق الاتصال بالدعم.
اقرأ المزيد حول إعدادات الخصوصية الخاصة بنا على سياسة الخصوصية لـ AgênciaColors.

استمرارية الأعمال والتعافي من الكوارث

نقوم بعمل نسخة احتياطية لجميع أصولنا الهامة ونحاول استعادة النسخة الاحتياطية بانتظام لضمان التعافي السريع من الكوارث. جميع النسخ الاحتياطية لدينا مشفرة.

مراقبة أمان التطبيق

- نحن نستخدم حل مراقبة الأمان للحصول على رؤية لأمان تطبيقنا ، وتحديد الهجمات ، والاستجابة بسرعة لخرق البيانات.
- نستخدم تقنيات لمراقبة الاستثناءات والسجلات واكتشاف الحالات الشاذة في تطبيقاتنا.
- نقوم بجمع السجلات وتخزينها لتوفير مسار تدقيق لنشاط تطبيقاتنا.
- نستخدم المراقبة كتتبع مفتوح في خدماتنا المصغرة.

حماية أمان التطبيق

- نحن نستخدم نظام حماية وقت التشغيل الذي يحدد ويحظر OWASP Top 10 وهجمات منطق الأعمال في الوقت الفعلي.
- نستخدم رؤوس الأمان لحماية مستخدمينا من الهجمات. يمكنك التحقق من ملاحظاتنا على هذا الماسح الأمني.
- نستخدم أتمتة الأمان ، وهي ميزات تكتشف وتستجيب تلقائيًا للتهديدات التي تستهدف تطبيقاتنا.

التطوير الآمن

نقوم بتطوير أفضل الممارسات وأطر الأمان التالية (OWASP Top 10 ، SANS Top 25). نستخدم أفضل الممارسات التالية لضمان أعلى مستوى من الأمان في برنامجنا:
- يحضر المطورون تدريبات أمنية منتظمة للتعرف على نقاط الضعف والتهديدات الشائعة
- نقوم بمراجعة الكود الخاص بنا لمعرفة الثغرات الأمنية
- نقوم بتحديث تبعياتنا بانتظام ونتأكد من عدم وجود نقاط ضعف معروفة في أي منها
- نحن نستخدم اختبار أمان التطبيق الثابت (SAST) لاكتشاف نقاط الضعف الأمنية الأساسية في قاعدة الرموز الخاصة بنا
- نستخدم اختبار أمان التطبيق الديناميكي (DAST) للتحقق من تطبيقاتنا
- نعتمد سنويًا على خبراء أمنيين تابعين لجهات خارجية لإجراء اختبارات اختراق لتطبيقاتنا.

الإفصاح المسؤول

نحن نشجع أي شخص يمارس الإفصاح المسؤول ويلتزم بسياساتنا وشروط الخدمة للمشاركة في برنامج مكافأة الأخطاء.
تجنب الاختبارات الآلية وقم بإجراء اختبارات الأمان باستخدام بياناتك الخاصة فقط. يرجى عدم الإفصاح عن أي معلومات حول الثغرات الأمنية حتى نقوم بإصلاحها. يتم تقديم المنح وفقًا لتقديرنا اعتمادًا على مدى أهمية الثغرة الأمنية المبلغ عنها.

يمكنك الإبلاغ عن نقاط الضعف عن طريق الاتصال [البريد الإلكتروني محمي]. قم بتضمين دليل على المفهوم. سنرد بأسرع ما يمكن على إرسالك ولن نتخذ أي إجراء قانوني إذا اتبعت القواعد.

تغطية
- agenciacolors.digital/*

الاستثناءات
- * .agenciacolors.digital
- * .agenciacolors.tech

نقاط الضعف المقبولة هي كما يلي:
- البرمجة النصية عبر المواقع (XSS)
- فتح إعادة التوجيه
- تزوير طلب عبر المواقع (CSRF)
- إدراج الأمر / الملف / URL
- قضايا المصادقة
- تنفيذ الكود
- حقن رمز أو قاعدة بيانات

هذا البرنامج مكافأة علة لا يشمل:
- خروج CSRF
- تعداد الحساب / البريد الإلكتروني
- رفض الخدمة (DoS)
- الهجمات التي يمكن أن تضر بمصداقية / نزاهة أعمالنا
- هجمات البريد العشوائي
- النقر فوق الصفحات بدون المصادقة و / أو تغييرات الحالة الحساسة
- تحذيرات ذات محتوى مختلط
- عدم وجود DNSSEC
- انتحال المحتوى / إدخال النص
- توقيت الهجمات
- هندسة اجتماعية
- التصيد
- ملفات تعريف الارتباط غير الآمنة لملفات تعريف الارتباط غير الحساسة أو ملفات تعريف ارتباط الطرف الثالث
- نقاط الضعف التي تتطلب تفاعلًا غير محتمل للغاية من جانب المستخدم
- برامج استغلال الثغرات التي تتطلب وصولاً ماديًا إلى جهاز المستخدم

حماية المستخدم

المصادقة الثنائية: نحن نقدم آلية مصادقة ثنائية لحماية مستخدمينا من هجمات الاستيلاء على الحساب. يعد تكوين هذا الإجراء الأمني ​​الإضافي اختياريًا ، ولكن يوصى به بشدة لزيادة أمان البيانات الحساسة.

حماية الاستيلاء على الحساب: نحن نحمي مستخدمينا من انتهاكات البيانات من خلال مراقبة ومنع هجمات القوة الغاشمة.

علامة واحدة على: يتم تقديم تسجيل الدخول الأحادي (SSO) لعملاء مؤسستنا.

التحكم في الوصول المستند إلى الدور: يتم تقديم التحكم في الوصول المستند إلى الدور (RBAC) على جميع حساباتنا ويسمح لمستخدمينا بتحديد الأدوار والأذونات.

الإمتثال

اللائحة العامة لحماية البيانات / LGPD

نحن ملتزمون باللائحة العامة لحماية البيانات / قانون حماية البيانات العامة (LGPD). الغرض من GDPR / LGPD هو حماية المعلومات الخاصة لمواطني الاتحاد الأوروبي والبرازيل ومنحهم مزيدًا من التحكم في بياناتهم الشخصية. يرجى الاتصال بنا للحصول على مزيد من التفاصيل حول كيفية امتثالنا لـ GDPR / LGPD.

معلومات الدفع

يتم الاستعانة بمصادر خارجية آمنة لجميع عمليات معالجة أدوات الدفع إلى Stripe و GerenciaNet المعتمدين كمقدم خدمة PCI من المستوى 1. نحن لا نجمع أي معلومات دفع وبالتالي لا نخضع لالتزامات PCI.

وصول الموظف

- تمنع إجراءاتنا الداخلية الصارمة أي موظف أو مسؤول من الوصول إلى بيانات المستخدم. يمكن إجراء استثناءات محدودة لدعم العملاء.
- يوقع جميع موظفينا أ اتفاقية السرية وعدم الإفشاء من خلال الانضمام إلى الشركة لحماية المعلومات السرية لعملائنا.