A Worklenz aplica controles de segurança práticos para ajudar a proteger a plataforma e as informações confiadas pelos clientes. Utilizamos medidas complementares em transporte, autenticação, autorização, comportamento da aplicação, implantações e recuperação.
Controles de segurança
Comunicação segura
A Worklenz oferece suporte a HTTPS/TLS para proteger dados em trânsito. As implantações de produção usam cabeçalhos de segurança, incluindo Content Security Policy, HSTS, proteção contra clickjacking, proteção de tipos MIME, política de referenciador e política de permissões.
Proteção da aplicação
Aplicamos proteção CSRF para solicitações que alteram o estado, validação e sanitização de solicitações, proteção contra poluição de parâmetros, limites de taxa para endpoints selecionados e medidas para detectar padrões suspeitos de injeção SQL.
Identidade e acesso
As senhas recebem hash antes do armazenamento. O acesso a organizações, projetos e áreas voltadas ao cliente é controlado por contas autenticadas, associação e permissões. O portal do cliente utiliza um fluxo de autenticação separado da autenticação baseada em sessão da aplicação principal.
Proteção de dados e recuperação
Quando compatível, tokens de integração sensíveis são criptografados antes do armazenamento. Os clientes mantêm a propriedade do conteúdo enviado à Worklenz. Os dados de produção da Worklenz Cloud são protegidos por backups automatizados regulares; organizações auto-hospedadas podem configurar seus próprios backups, retenção e procedimentos de restauração.
Nuvem e auto-hospedagem
A Worklenz é de código aberto e pode ser auto-hospedada. Organizações que escolhem essa opção controlam sua infraestrutura, redes, monitoramento, backups, recuperação, controles de acesso e processos operacionais.
Os serviços de produção da Worklenz Cloud são executados em um ambiente de nuvem gerenciada. O acesso à produção é restrito a membros autorizados da equipe e protegido por controles de identidade e rede em camadas.
Operações de segurança
As alterações são desenvolvidas por meio de um fluxo de pull requests e revisadas antes da integração. Verificações de integração contínua validam alterações de backend, frontend e portal do cliente. O monitoramento automatizado de dependências auxilia a manutenção contínua, e o monitoramento de erros e alertas em tempo real ajudam a investigar erros da aplicação e eventos relacionados à segurança.
A CeyDigital mantém um Sistema de Gestão da Qualidade certificado pela ISO 9001:2015. A ISO 9001:2015 é uma certificação de gestão da qualidade, não uma certificação de segurança da informação.
Gestão de vulnerabilidades
Recebemos relatórios responsáveis de pesquisadores de segurança e da comunidade. Vulnerabilidades confirmadas são avaliadas, priorizadas e resolvidas por meio do processo de desenvolvimento e lançamento da Worklenz. Consulte Reportar uma vulnerabilidade para conhecer os canais privados.
Responsabilidade compartilhada
- Use credenciais fortes e exclusivas e remova acessos quando não forem mais necessários.
- Revise regularmente as permissões de organização, projeto e portal do cliente.
- Revise permissões antes de conectar integrações de terceiros.
- Em implantações auto-hospedadas, mantenha a Worklenz e a infraestrutura de suporte atualizadas.
- Proteja a infraestrutura e o armazenamento de backups e teste regularmente os procedimentos de restauração.
Perguntas frequentes
A Worklenz está disponível para auto-hospedagem?
Sim. A Worklenz é de código aberto e pode ser implantada em um ambiente controlado pela sua organização.
Quem protege uma implantação auto-hospedada?
A organização que opera a implantação é responsável pelo ambiente de hospedagem, configuração de rede, sistemas operacionais, banco de dados, armazenamento de backups, monitoramento, controles de acesso e processo de atualização.
Como solicito a exclusão da conta?
Siga o processo de exclusão de conta descrito na nossa Política de Privacidade.
Reportar uma vulnerabilidade
Recebemos relatórios responsáveis de pesquisadores de segurança e da comunidade. Não publique vulnerabilidades suspeitas em issues públicos do GitHub, discussões ou redes sociais. Envie um aviso privado pelo GitHub (preferencial) ou envie o relatório para [email protected] ou [email protected], incluindo uma descrição clara, o possível impacto, etapas ou prova de conceito para reproduzir o problema e os componentes afetados.
Consulte também nossa Política de Privacidade, Termos de Uso e a política de segurança de código aberto.
