Segurança de dados

Infra-estrutura do sistema

Na Metalshub, acreditamos numa forte separação: Os nossos servidores são alojados em hardware dedicado - o hardware não é partilhado com outras partes e apenas nós podemos aceder aos nossos sistemas. Utilizamos hardware separado para a nossa plataforma de produção, o nosso website, e os nossos serviços internos. Os servidores estão localizados na Alemanha e estão física e logicamente protegidos contra o acesso enquanto são constantemente monitorizados. O centro de dados é regularmente auditado e possui uma certificação ISO 27001.

Servidores

Todos os nossos servidores são protegidos por múltiplos firewalls e têm uma protecção automatizada DDoS (negação de serviço distribuída). Além disso, o nosso sistema de detecção de intrusão bloqueia automaticamente endereços IP que mostram um comportamento suspeito (por exemplo, tentativas de login mal sucedidas). Os ficheiros de registo relacionados com a segurança são constantemente verificados automaticamente e revistos manualmente numa base semanal. As actualizações do sistema operacional relacionadas com a segurança são aplicadas imediata e automaticamente.

Controlo de Acesso e Formação

O acesso aos nossos servidores é limitado à autenticação baseada em RSA-Key (não um login com uma palavra-passe). Um número mínimo absoluto de empregados (actualmente dois) e nenhuma parte externa tem acesso administrativo aos nossos servidores.

Utilizamos um sistema de controlo de acesso baseado em funções para assegurar que cada empregado só tem acesso aos dados que são absolutamente necessários como parte do seu trabalho. Além disso, todos os empregados relevantes recebem formação regular em segurança informática.

Criptografia

Encriptamos os seus dados de cada vez que nos são enviados. Utilizamos o protocolo padrão da indústria Secure Sockets Layer (SSL) que fornece encriptação de dados, integridade de mensagens, e autenticação de servidor. Permitimos HTTP Strict Transport Security (HSTS) para todos os nossos domínios e subdomínios. A nossa configuração SSL recebeu uma classificação A+ na conhecida auditoria Qualys SSL Labs.

Segurança interna de dados

Utilizamos um sistema de acesso muito restritivo baseado em funções para controlar quais os empregados têm acesso a que dados e aderir ao princípio da minimização de dados, ou seja, os empregados só têm acesso aos dados necessários com base nas suas funções. Além disso, todos os nossos empregados têm uma cláusula de confidencialidade no seu contrato de trabalho. As violações desta cláusula podem resultar na rescisão do contrato de trabalho e em possíveis acções judiciais.

Desenvolvimento de software

Cada alteração de código é revista e precisa de aprovação antes de ser implementada no nosso ambiente de encenação. Após uma revisão de encenação, as alterações são implantadas nos nossos servidores de produção. Cada lançamento é automática e manualmente testado quanto à funcionalidade, vulnerabilidades, separação de dados baseada em autenticação/autorização, e outras questões relacionadas com a segurança.