Histórico da Página
| Índice | ||||||||
|---|---|---|---|---|---|---|---|---|
|
| Nota | ||
|---|---|---|
| ||
Acesse aqui e veja nossas recomendações sobre as Boas práticas de segurança para o seu ambiente no TOTVS Fluig Plataforma. |
Objetivo
...
Esse guia tem o objetivo de declarar
Objetivo
Declarar os controles de segurança realizados dentro da plataforma do TOTVS Fluig Plataforma e sua execução em ambiente internos (on-premise) ou cloud.
Criptografia
| Tráfego de dados | Toda a comunicação do da plataforma TOTVS Fluig e os clientes é feito por HTTPS/TLS, o protocolo mais utilizado e confiável no mercado. Saiba mais sobre configuração HTTPS É de responsabilidade do cliente fornecer um certificado válido para utilização do servidor Fluig, exemplo: fluig.empresa.com.br. Caso o cliente não tenha um certificado, sugerimos a utilização do seguinte endereço: Certificado HTTPS por 2 meses
| ||
|---|---|---|---|
| Senhas | Os dados sensíveis de usuário são gravados de forma que não podem ser descobertos o conteúdo original. É utilizado o algoritmo PBKDF2WithHmacSHA1, para gravação das senhas dos usuários no TOTVS Identity. | ||
| Autenticação | O processo de Single Sign On (SSO) é feito através do protocolo SAML, com um certificado gerado internamente, onde não é feita a troca de informações de senha. |
Disponibilidade e Continuidade
Serviços TOTVS Identity na Nuvem | Disponibilidade mínima do ambiente do Identity é de 99,5% por mês sobre o ambiente de produção. Todo o acompanhamento e notificações sobre mudanças de estado do serviço são disponibilizadas em: http://status.fluigidentity.com |
|---|---|
Serviço Analytics na Nuvem | Disponibilidade mínima do ambiente do Fluig Analytics é de 99,5% por mês sobre o ambiente de produção. |
| Serviço CLOUD | As políticas de disponibilidade e continuidade dependem de proposta comercial, onde nossos planos iniciam com disponibilidade de 97,5% por mês. Confirme na proposta os valores específicos de uso e de disponibilidade. |
Alta disponibilidade On premises | É de responsabilidade do cliente on-premises criar um ambiente que atenda a necessidade de disponibilidade e desempenho que o negócio necessitará. Possuímos recomendações sobre como um cliente deve configurar seu ambiente para garantir uma maior disponibilidade. Saiba mais sobre como criar ambientes de alta disponibilidade Fluig. Caso o cliente necessite de um apoio na administração de seu ambiente, possuímos pacotes de serviços para melhor atendê-lo. |
Ambiente Físico
Dependendo do uso e contrato, o cliente pode estar no datacenter NIMBVS da TOTVS ou no datacenter Amazon. Cada um possui características diferentes.
| Ambiente NIMBVS | Certificações
Localidade Data centers estão localizados em São Paulo, Brasil |
|---|---|
| Ambiente Amazon | Para serviços Fluig Viewer e para cliente clientes alocados na nuvem Amazon, os as seguintes certificações estão incluídas:
Mais detalhes sobre as certificações em ambiente Amazon Localidade Data centers alocados são da Zona São Paulo, Brasil |
Ambiente de Serviços Complementares
Para o funcionamento da plataforma, no conceito de fog computing, alguns serviços rodam em serviços na nuvem. Para transparência para nossos clientes, segue serviços e localidades.
| Ambiente Identity (Produção) | Localidade Data centers estão localizados na Zona São Paulo, Brasil, em serviços da Amazon AWS |
|---|---|
| Ambiente Analytics | Para mais informações sobre a arquitetura e segurança referente aos serviços do Analytics, consulte o guia de segurança. Localidade Data centers alocados nos Estados Unidos, em serviços da Rackspace |
| Ambiente Fluig Viewer | Localidade Data centers estão localizados na Zona São Paulo, Brasil, em serviços da Amazon AWS |
Integração com Sistemas Externos
O Fluig A plataforma pode ser integrado integrada com diversos sistemas em diferentes cenários. Como segurança recomendamos verificar todas essas integrações.
Sistemas legados | Com a plataforma TOTVS Fluig uma das características que é muito utilizada nos projetos criados é a integração com sistemas que a empresa já tem, seja para consulta seja para efetivação. Tipos de integração suportados:
Autenticações suportadas em REST:
|
|---|---|
| Serviços para desenvolvimento | A plataforma disponibiliza diversos serviços que possibilitam o desenvolvimento de personalizações e integrações. Por isso recomendamos revisar a segurança de acesso às APIs, Datasets e Webservices. Acesse o guia de usuário para mais informações. |
Componentes obrigatórios | On-Premise - License Server Para verificar o contrato do cliente, será necessário instalar o License Server. Ele se conecta a nuvem para verificar o contrato do cliente ao qual ele tem acesso. Leia mais sobre o license server. On-Premise - Banco de Dados Conforme matriz de portabilidade, o Fluig requer a plataforma requer a utilização de um banco de dados. Para obter mais detalhes sobre características de segurança desse componente verifique a documentação do seu fornecedor. |
| Componentes opcionais | Microsoft Active Directory Para autenticação de usuários é possível utilizar o Microsoft Active Directory. Tanto a plataforma como o Identity possuem conexões, sendo que para o Identity possuímos o Identity | SmartSync que é utilizado para aumentar a segurança nessa comunicação. SMTP - Envio de e-mail Para realizar o envio de e-mail de notificações, utilizamos o protocolo SMTP tanto com SSL como TLS. Leia mais sobre a configuração de e-mail. Notificações PUSH Para notificar os usuários de aplicativos móvel é utilizado tanto a infra-estrutura do Google® como da Apple®, em que pequenas mensagens sem dados críticos de negócio são repassadas usando o parceiro de tecnologia UrbanAirship que centraliza todas as mensagens enviadas para clientes TOTVS Fluig. |
Ambiente Mobile
O Fluig A plataforma pode ser acessado acessada via dispositivos móveis com o Fluig Mobile, disponível para Android e iPhone/iPad.
| Trafego de dados | A comunicação entre o Fluig Mobile e o servidor do Fluig é feita através de conexão de rede, onde todo o tráfego de informações ocorre via HTTP. Para acesso via rede de dados celular (3G/4G) é necessário que o endereço do Fluig esteja publicado na internet. Para uma maior segurança, é possível habilitar HTTPS, respeitando os certificados válidos para dispositivos móveis. Caso não esteja publicado na internet, é necessário que o dispositivo móvel onde o Fluig Mobile está instalado esteja conectado à uma rede onde seja possível acessar o servidor do Fluig. Ex.: Wi-Fi interna da empresa, conexão VPN, etc. |
|---|---|
| Autenticação | É realizada utilizando oAuth, um protocolo seguro de autorização que não armazena o usuário e senha no momento do login, apenas a chave de autenticação (token). |
Segurança da rede e aplicação
| Recomendação seguida | Para boa parte das ações de segurança, são levadas em consideração as recomendações da OWASP |
|---|---|
| Teste de vulnerabilidades | Empresas terceiras realizam Pentests de forma regular e de forma independente. Descobertas de vulnerabilidades são avaliadas conforme impacto e probabilidade da falha, nisso são criadas tarefas de correção para o time responsável.Último pentest realizado: janeiro/2019. Para garantir o processo, clientes são orientados a abrir um ticket relatando a situação mapeada no Pentest, juntamente com o impacto. Cada ticket aberto será avaliado pelo time de segurança TOTVS, caso a vulnerabilidade seja confirmada, o ticket entrará em processo de manutenção padrão. Cada situação deve ter um ticket e deve ser evitado criar um ticket com todas as situações. É importante que os testes sejam realizados em um ambiente atualizado com a versão mais recente do Fluig, disponível para download no Portal de Clientes. |
| Incidentes de segurança | No evento de um vazamento de informações ou de uma descoberta de uma vulnerabilidade, nossos profissionais técnicos são alocados. Para garantir o processo, clientes são orientados a abrir um ticket relatando a situação. |
Visão Geral
Import HTML Content
Conteúdo das Ferramentas
Tarefas