Quais salvaguardas protegem os dados pessoais processados pela Cyber Crucible?

Resposta breve: Encriptação em trânsito e em repouso, pseudonimização de identificadores sempre que viável, controlo de acesso baseado em funções, gestão de chaves com rotação, registo de auditoria e verificações de vulnerabilidades regulares — apoiados por termos contratuais nos DPAs dos clientes e por um programa interno de segurança da informação. 
 Técnico 
 
 Dados pessoais encriptados em trânsito (TLS 1.3) e em repouso . 
 Encriptação JSON Web por agente das cargas úteis operacionais, utilizando pares de chaves únicos. 
 Identificadores sensíveis pseudonimizados ou anonimizados sempre que viável. 
 Acesso controlado através de autenticação e permissões baseadas em funções. 
 Políticas de gestão de chaves criptográficas que asseguram o armazenamento seguro e a rotação das chaves. 
 Registo e auditoria de acessos e ações administrativas para deteção de atividade não autorizada. 
 Verificações de vulnerabilidades e testes de segurança regulares. 
 
 Contratual 
 Os contratos com clientes e os DPAs incluem termos relativos à segurança dos dados, confidencialidade e notificação de violações. Os subprocessadores só são contratados ao abrigo de acordos escritos que exigem proteções equivalentes. Colaboradores e prestadores estão vinculados por acordos mútuos de confidencialidade. 
 Organizacional 
 Um programa de gestão de segurança da informação rege a conformidade contínua, com formação de sensibilização para a segurança destinada ao pessoal relevante, resposta a incidentes documentada, procedimentos de retenção e eliminação de dados, e auditorias internas periódicas. 
 Sobre certificações — dito de forma clara 
 O programa de segurança da Cyber Crucible está alinhado com os quadros de referência reconhecidos do setor. A Cyber Crucible não possui atualmente a certificação ISO 27001 ou SOC 2, e a certificação não está atualmente planeada. 
 Alinhamento significa que os controlos seguem as práticas descritas nesses quadros de referência. Não significa que um auditor externo os tenha avaliado e certificado, e isso não deve ser representado dessa forma na sua própria documentação de conformidade. Se o seu processo de aquisição exigir evidência certificada, esse requisito não está atualmente satisfeito — contacte dpo@cybercrucible.com para discutir a documentação disponível.