Visão Geral da Segurança

Quais recursos devem ser protegidos?

• Dados do cliente, como números de cartão de crédito
• Dados internos, como código-fonte patenteado
• Componentes do sistema (protegidos de ataques externos ou sobrecargas intencionais do sistema)

De quem você está protegendo os dados?

Analise seus workflows para determinar quem precisa de acesso a quais dados. Por exemplo, você deve proteger os dados dos usuários inscritos em relação a outros usuários inscritos, mas alguém da sua organização precisa acessar esses dados para gerenciá-los.

Considere cuidadosamente a quantidade de acesso a um administrador do sistema. Um administrador do sistema pode ser capaz de gerenciar os componentes do sistema sem precisar acessar os dados do sistema.

O que acontece se as proteções em um recurso estratégico falharem?

Às vezes, uma falha no esquema de segurança é apenas um inconveniente. Em outros momentos, uma falha pode prejudicar você ou seus clientes. Compreender as ramificações de segurança de cada recurso ajuda a protegê-lo.

Serviço IAM (Identity and Access Management)

Você é responsável por proteger suas credenciais de acesso à nuvem e configurar contas de usuário individuais. Você também é responsável por gerenciar e revisar o acesso às suas próprias contas de funcionário e a todas as atividades que ocorrem na sua tenancy.

A Oracle é responsável por fornecer serviços efetivos do IAM, como gerenciamento, autenticação, autorização e auditoria de identidades.

Segurança da Carga de Trabalho

Você é responsável por proteger e proteger o sistema operacional e as camadas de aplicativos de suas instâncias de computação contra ataques e compromissos. Essa proteção inclui aplicação de patches e sistemas operacionais, configuração de sistemas operacionais e proteção contra ataques de malware e rede.

A Oracle é responsável por fornecer imagens seguras protegidas e disponibilizar os patches mais recentes. A Oracle também permite que você use as mesmas soluções de segurança de terceiros que você já usa on-premises.

Classificação e Conformidade de Dados

Você é responsável por classificar e identificar corretamente os seus dados e cumprir as obrigações de conformidade. Você também é responsável por auditar as suas soluções para garantir que elas atendam às obrigações de conformidade.

Segurança da Infraestrutura do Host

Você é responsável por configurar e gerenciar com segurança os seus serviços de computação (hosts virtuais, contêineres), armazenamento (objeto, arquivo, armazenamento local, volumes em blocos) e plataforma (configuração de banco de dados).

A Oracle compartilha a responsabilidade com você por garantir que o serviço seja configurado e protegido de forma ideal e segura. Essa responsabilidade inclui a segurança do hipervisor e a configuração das permissões e dos controles de acesso à rede.

Segurança de Rede

Você é responsável por configurar de forma segurança elementos de rede como redes virtuais, balanceamento de carga, DNS e gateways. Você garante que os hosts possam se comunicar corretamente e que os dispositivos possam anexar ou montar os dispositivos de armazenamento corretos.

A Oracle é responsável por fornecer uma infraestrutura de rede segura. A proteção L3/4 DDoS está incluída em todas as contas do Oracle Cloud Infrastructure e nenhuma configuração ou monitoramento é necessário.

Proteção de Cliente e Ponto Final

Sua empresa usa vários sistemas de hardware e software, como dispositivos móveis e navegadores, para acessar seus recursos de nuvem. Você é responsável por proteger todos os clientes e pontos finais aos quais permite acessar os serviços do OCI.

Segurança Física

A Oracle é responsável por proteger a infraestrutura global que executa os serviços oferecidos no OCI. Essa infraestrutura consiste em hardware, software, redes e instalações.

Cultura de Segurança

Uma cultura de segurança em primeiro lugar é vital para criar uma organização orientada à segurança. Todos os membros da equipe da OCI entendem o papel que a segurança desempenha em nossos negócios e estão ativamente envolvidos no gerenciamento e melhoria da postura de segurança de nossos produtos. Também implementamos os seguintes mecanismos para nos ajudar a criar e manter uma cultura consciente da segurança:

• Liderança baseada na segurança: A liderança sênior está ativamente envolvida no planejamento, monitoramento e gerenciamento da segurança. Definimos e nos medimos em comparação com métricas de segurança e incluímos a segurança como um componente nos processos de avaliação da equipe.
• Especialização incorporada: Os membros da equipe de segurança trabalham em estreita colaboração com as equipes de desenvolvimento de produtos. Essa abordagem permite que nossa organização de segurança construa uma compreensão profunda dos processos de desenvolvimento de produtos e das arquiteturas de sistemas. Essa abordagem também ajuda as equipes a resolver desafios de segurança rapidamente e impulsionar iniciativas de segurança de forma mais eficaz.
• Padrões de segurança comuns: Integramos segurança aos nossos produtos e operações. Por exemplo, estabelecemos uma linha de base de padrões de segurança. Essa linha de base fornece um único ponto de referência de segurança e estabelece diretrizes claras e acionáveis. Frequentemente atualizamos essa linha de base para incorporar lições aprendidas e refletir fatores de negócios emergentes. Também criamos materiais de suporte para ajudar nossas equipes a implementar controles de segurança. Esses materiais incluem arquiteturas de referência, guias de implementação e acesso a especialistas em segurança.
• Abertura, debate construtivo e escalonamento incentivado: Problemas de segurança só podem ser resolvidos quando as pessoas que podem corrigi-los estão conscientes desses problemas. Incentivamos a escalada e trabalhamos para criar um ambiente em que levantar problemas antecipadamente e com frequência é um ambiente recompensado.
• Conhecimento de treinamento de segurança: mantemos robustos programas de treinamento que reforçam nossa cultura de segurança. Precisamos de sessões de treinamento de segurança detalhadas para todos os novos funcionários e treinamentos anuais de atualização. Também fornecemos treinamento de segurança personalizado para funções específicas. Todos os nossos desenvolvedores de software participam de um treinamento de desenvolvimento seguro que estabelece requisitos de segurança básicos para o desenvolvimento de produtos e que apresenta as melhores práticas. Também fornecemos formas envolventes e inovadoras de treinamento em conscientização de segurança, como palestrantes convidados e fóruns interativos.

Designs e Controles de Segurança

Integramos a segurança em nossos produtos e operações em nuvem por meio de uma metodologia centralizada. Essa metodologia define nossa abordagem para várias áreas principais de segurança e, juntas, essas áreas formam a base de segurança a partir da qual construímos nossos produtos. Essa abordagem nos ajuda a aplicar as melhores práticas e as lições aprendidas com um produto nos negócios, elevando a segurança de todos os nossos produtos.

• Autenticação de usuário e controle de acesso: uma abordagem de privilégio mínimo é usada para conceder acesso aos sistemas de produção. As listas aprovadas de membros da equipe de serviço são revisadas periodicamente para revogar o acesso quando a necessidade não pode ser justificada. O acesso aos sistemas de produção também requer autenticação multifator (MFA). A equipe de segurança concede tokens de MFA, e os tokens de membros inativos são desativados. Todo acesso aos sistemas de produção é registrado, e os logs são armazenados para análise de segurança.
• Gerenciamento de mudanças: Seguimos um rigoroso processo de gerenciamento e implantação de mudanças que usa ferramentas proprietárias de teste e implantação. Todas as alterações implantadas em nosso ambiente de produção são testadas e aprovadas antes de serem lançadas. Esse processo garante que as alterações funcionem conforme planejado e possam ser revertidas para um estado anterior para se recuperar normalmente de bugs ou problemas operacionais. Também rastreamos a integridade de configurações críticas do sistema para garantir que elas estejam alinhadas com o estado esperado.
• Gerenciamento de vulnerabilidades: Utilizamos equipes internas de testes de penetração e especialistas externos do setor para nos ajudar a identificar possíveis vulnerabilidades em nossos produtos. Esses especialistas nos ajudam a aprimorar a segurança dos nossos produtos, e trabalhamos para incorporar as lições aprendidas no nosso futuro trabalho de desenvolvimento. Também verificamos periodicamente os hosts da OCI em busca de vulnerabilidades usando scanners padrão do setor. Determinamos se os resultados da verificação se aplicam ao ambiente da OCI e as equipes de produtos aplicam os patches necessários, conforme necessário.
• Resposta a incidente: Temos processos e mecanismos fortes que nos permitem responder a incidentes e resolvê-los à medida que eles surgem. As equipes de resposta a incidentes estão prontas para detectar e responder aos eventos 24/7. Os membros críticos da equipe carregam dispositivos de paginação para que possamos chamar a experiência necessária para resolver problemas.

  Também temos um processo para nos ajudar a aprender com nossos incidentes. Fazemos a análise de causa-raiz usando o nosso processo CAPA (Corrective Action/Preventative Action). Os CAPAs nos ajudam a descobrir lacunas e mudanças no processo que podemos fazer após um incidente ocorrer. Os CAPAs são uma linguagem comum que podemos usar para refletir sobre um problema e capturar etapas para melhorar a futura preparação operacional. Os CAPAs contêm a causa raiz de um problema, o que é necessário para conter ou corrigir o problema e contêm as etapas necessárias para garantir que o problema não ocorra novamente. Nossa equipe de liderança revisa todas as CAPAs, procura aplicações transorganizacionais para as lições aprendidas e garante que as ações sejam implementadas no momento certo.

• Log e monitoramento de segurança: temos mecanismos automatizados para registrar eventos relevantes para a segurança (por exemplo, chamadas da API e eventos de rede) na infraestrutura e para monitorar os logs em busca de comportamento anormal. A equipe de segurança rastreia e tria os alertas gerados pelos mecanismos de monitoramento.
• Segurança de rede: Por padrão, as comunicações do cliente com serviços da OCI usam as cifras e a configuração mais recentes do Transport Layer Security (TLS) para proteger os dados do cliente em trânsito e para evitar ataques man-in-the-middle. Como defesa adicional, os comandos do cliente para os serviços são assinados digitalmente usando chaves públicas para evitar qualquer adulteração. Os serviços também implantam ferramentas e mecanismos líderes do setor para mitigar ataques distribuídos de negação de serviço (DDoS) e manter alta disponibilidade.
• Segurança do plano de controle: os hosts de backend do OCI (plano de controle) são isolados de forma segura das instâncias do cliente usando listas de controle de acesso à rede (ACLs). Suas instâncias são provisionadas e gerenciadas por agentes de software que devem interagir com os hosts de backend. Somente agentes de software autenticados e autorizados podem interagir com sucesso com esses hosts de backend. Para esses hosts, os ambientes de pré-produção (por exemplo, desenvolvimento, teste e integração) são separados dos ambientes de produção para que quaisquer atividades de desenvolvimento e teste não afetem os sistemas de produção.
• Segurança do servidor e gerenciamento de mídia: Nossa equipe de segurança de hardware é responsável por projetar e testar a segurança do hardware usado para entregar os serviços da OCI. Essa equipe trabalha com a nossa cadeia de suprimento e testa componentes de hardware para validá-los em relação aos rigorosos padrões de segurança de hardware da OCI. Essa equipe também trabalha em estreita colaboração com nossas funções de desenvolvimento de produtos para garantir que o hardware retorne a um estado pristino seguro depois que os clientes liberarem o hardware.
• Limpeza segura de host e destruição de mídia: as instâncias da OCI são apagadas com segurança depois que os clientes liberam o hardware. Essa limpeza segura restaura o hardware em um estado pristino. Fizemos a reengenharia da plataforma com componentes de hardware patenteados que permitem limpar e reinicializar o hardware de maneira segura. Quando o hardware subjacente atingir o fim da vida útil, o hardware será destruído com segurança. Antes de saírem dos nossos data centers, as unidades de disco são inutilizadas por meio de dispositivos de destruição de mídia líderes de mercado.

Desenvolvimento Seguro de Softwares

O desenvolvimento seguro de software requer a aplicação consistente de metodologias que estejam em conformidade com princípios e objetivos de segurança claros e claros. Desenvolvemos práticas de segurança em cada elemento do ciclo de vida de desenvolvimento dos nossos produtos. Temos padrões formais de desenvolvimento de produtos de segurança que são um roteiro e um guia para desenvolvedores. Os padrões abrangem áreas gerais de conhecimento de segurança, como princípios de design e vulnerabilidades comuns, e fornecem orientação específica sobre tópicos como validação de dados, privacidade de dados e gerenciamento de usuários.

Nossos padrões seguros de desenvolvimento de produtos evoluem e se expandem ao longo do tempo para resolver os problemas comuns que afetam o código, as novas ameaças à medida que são descobertas e os novos casos de uso de nossos clientes. Os padrões incorporam insights e lições aprendidas; eles não vivem isolados nem são uma adição "posterior ao fato" ao desenvolvimento de software. Eles são parte integrante de padrões específicos para linguagens como C/C++, Java, PL/SQL e outras, e são a base de nossos processos e programas de desenvolvimento seguro.

Análise de garantia de segurança e testes verificam as qualidades de segurança dos nossos produtos contra vários tipos de ataques. São utilizadas duas grandes categorias de testes: análise estática e análise dinâmica. Esses testes se encaixam de maneira diferente no ciclo de vida de desenvolvimento do produto e normalmente encontram diferentes categorias de problemas, por isso são usados juntos por nossas equipes de produtos.

Segurança da Equipe

Nós nos esforçamos para contratar os melhores profissionais e investimos em nossos funcionários. Valorizamos o treinamento, exigimos treinamento básico de segurança para todos os nossos funcionários e também exigimos treinamento especializado para manter nossas equipes informadas sobre as mais recentes tecnologias, explorações e metodologias de segurança. Nossos programas anuais de treinamento corporativo cobrem nossos programas de segurança da informação e privacidade, entre muitos outros. Também nos envolvemos com vários grupos do setor e enviamos nossos funcionários para conferências especializadas para colaborar com outros especialistas do setor em desafios emergentes. Os objetivos dos nossos programas de treinamento de segurança são ajudar os nossos funcionários a proteger melhor os nossos clientes e produtos, permitir que os funcionários cresçam em suas áreas de conhecimento em relação a segurança e ampliar a nossa missão para atrair e reter os melhores talentos.

Contratamos pessoas com ética forte e bom senso. Nossos funcionários passam por uma triagem prévia, como permitido por lei, incluindo verificações de antecedentes criminais e validação de empregos anteriores. Também usamos processos de avaliação de desempenho de equipes e funcionários para reconhecer um bom desempenho e ajudar nossas equipes e funcionários a identificar oportunidades de crescimento. A segurança é um componente dos processos de avaliação de nossa equipe. Essa abordagem mostra o desempenho das equipes em relação aos nossos padrões de segurança e nos permite identificar melhores práticas e áreas de melhoria para processos críticos de segurança.

Segurança Física

Os data centers do Oracle Cloud Infrastructure foram projetados para oferecer segurança e disponibilidade aos dados do cliente. Este design começa com o nosso processo de seleção de sites. Os locais de criação de candidatos e os locais do provedor passam por um extenso processo de avaliação de risco. Esse processo considera os seguintes critérios, entre outros: ameaças ambientais, disponibilidade e estabilidade de energia, reputação e histórico do fornecedor, funções de instalações vizinhas (por exemplo, manufatura de alto risco ou metas de alta ameaça) e questões geopolíticas.

Os data centers da OCI são alinhados com os padrões TIA (Uptime Institute and Telecommunications Industry Association) ANSI/TIA-942-A Nível 3 ou Nível 4 e seguem uma metodologia de redundância N2 para a operação de equipamentos críticos. Os data centers que abrigam serviços da OCI usam fontes de energia redundantes e mantêm backups do gerador para evitar interrupções elétricas generalizadas. As salas de servidores são rigorosamente monitoradas em relação à umidade e à temperatura do ar. Também é verificada a existência de sistemas de supressão de incêndio. A equipe do data center é treinada nos procedimentos de escalonamento e de resposta a incidentes para atender a eventos de segurança ou disponibilidade que possam ocorrer.

Nossa abordagem em camadas para a segurança física começa com a construção do site. As instalações do data center são construídas com aço, concreto ou materiais comparáveis e foram projetadas para suportar o impacto de um ataque de veículo leve. Nossos sites são equipados com guardas de segurança que estão prontos para responder a incidentes 24 horas por dia, 7 dias por semana. O exterior de cada local é protegido com barreiras de perímetro e os veículos são monitorados ativamente por guardas e câmeras que cobrem o perímetro do edifício.

Todas as pessoas que entram em nossos data centers devem primeiro passar pela segurança nas entradas do local, que têm guardas de segurança. Pessoas sem crachás de segurança específicos do local devem apresentar identificação emitida pelo governo e devem ter uma solicitação de acesso aprovada que conceda a eles acesso ao prédio do data center. Todos os funcionários e visitantes devem sempre usar crachás de identificação oficiais visíveis. Outras medidas de segurança entre a entrada e as salas de servidores variam dependendo da construção do site e do perfil de risco.

As salas de servidores do data center são construídas com mais segurança, incluindo câmeras que cobrem as salas do servidor, controle de acesso de dois fatores e mecanismos de detecção de intrusão. Há barreiras físicas para criar zonas de segurança isoladas ao redor dos racks do servidor e da rede que vão do chão (incluindo partes abaixo de pisos elevados, se for o caso) ao teto (incluindo partes acima do teto, se for o caso).

O acesso aos data centers é cuidadosamente controlado e segue uma abordagem de acesso com privilégios mínimos. O pessoal autorizado deve aprovar todo o acesso às salas do servidor e o acesso é concedido apenas pelo período necessário. O uso do acesso é auditado, e a liderança do data center revisa periodicamente o acesso provisionado no sistema. As salas de servidores são isoladas em zonas seguras gerenciadas individualmente. O acesso é provisionado apenas para as zonas exigidas pelo pessoal.

Operações de Segurança

A equipe de Operações de Segurança do Oracle Cloud Infrastructure é responsável por monitorar e proteger as tecnologias exclusivas de hospedagem e de rede virtual da OCI. Essa equipe trabalha e treina diretamente com os engenheiros da Oracle que desenvolvem essas tecnologias.

Monitoramos diariamente ameaças emergentes de segurança na Internet e implementamos planos de resposta e defesa apropriados para lidar com os riscos às atividades do negócio. Quando determinamos que alterações urgentes são recomendadas e estão no escopo das responsabilidades dos clientes, emitimos boletins de alerta de segurança a esses clientes para garantir sua proteção.

Quando um problema de segurança detectado ou relatado afeta servidores ou redes do OCI, a equipe de Operações de Segurança está disponível 24/7 para responder, escalonar ou executar a ação corretiva necessária. Quando necessário, escalonamos e coordenamos com partes externas (incluindo provedores de serviços de rede e de hospedagem, fornecedores de hardware ou agentes da lei) para proteger a OCI, nossos clientes e a segurança e a reputação da nossa rede.

Quando a equipe de Operações de Segurança responde a um problema de segurança, eles agem de acordo com nosso processo documentado e todas as ações são registradas de acordo com os requisitos de conformidade. Sempre tomamos cuidado para proteger as metas do serviço, a integridade dos dados, a privacidade e a continuidade dos negócios.

Propriedade e Direitos sobre Dados

Os clientes do Oracle Cloud Infrastructure retêm todos os direitos de posse e propriedade intelectual sobre seu conteúdo. Nós nos esforçamos para ser transparentes com nossos processos de proteção de dados e solicitações de aplicação da lei que possamos receber.

Privacidade dos Dados

A OCI tem recursos que ajudam os clientes a se alinharem aos princípios comuns de privacidade de dados. Consulte Recursos de Privacidade do Oracle Cloud Infrastructure.

Solicitações de Imposição da Lei

Exceto se o contrário for exigido por lei, a Oracle notifica prontamente os clientes de qualquer intimação, ordem judicial, administrativa ou arbitral de uma agência executiva ou administrativa ou de outra autoridade governamental que receba e que esteja relacionada aos dados pessoais que a Oracle está processando em nome do cliente. Após a solicitação do cliente, a Oracle fornece aos clientes informações razoáveis em sua posse relevantes para a solicitação de aplicação da lei e qualquer assistência razoavelmente necessária para que eles respondam à solicitação em tempo hábil.

Conformidade

Trabalhamos com práticas alinhadas com o Código de Prática para controles de segurança de informações ISO/IEC 27002. Nesse código, identificamos um amplo conjunto de controles de segurança que se aplicam às nossas atividades e negócios. Esses controles de segurança e nossas operações passam por auditorias externas. Buscamos um amplo conjunto de programas regulatórios, auditorias e certificações do governo e do setor. Consulte Conformidade do Oracle Cloud.