吃瓜爆料

Organizacional

Procedimentos

Mantemos um programa documentado de privacidade de informa??es, seguran?a e gerenciamento de riscos com fun??es, responsabilidades, políticas e procedimentos claramente definidos. Nosso programa é baseado nos seguintes padr?es:

• ISO 9001:2015 – Sistemas de gest?o da qualidade
• ISO/IEC 27001:2022 – Gest?o da seguran?a da informa??o
• SOC2 Tipo II – Controles de sistema e organiza??o
• Integra??o do modelo de maturidade de capacidade do SEI
• Biblioteca de Infraestrutura de TI (ITIL)
• ICH Q9 – Gerenciamento de risco de qualidade

Revisamos e modificamos regularmente nosso programa de seguran?a para refletir as mudan?as tecnológicas, regulamenta??es, leis, riscos, práticas do setor e de seguran?a e outras necessidades comerciais.

Organiza??o e gerenciamento de seguran?a

Mantemos uma estrutura de responsabilidade e presta??o de contas para o gerenciamento da seguran?a, projetada para:

• Coordenar nossos acordos de seguran?a da informa??o;
• Descrever o ponto de contato para quest?es de seguran?a da informa??o;
• Testar a eficácia das medidas de seguran?a; e
• Manter padr?es de seguran?a aprovados.

Nomeamos um responsável pela seguran?a da informa??o para ajudar os gerentes de negócios, usuários, equipe de TI e outros a cumprir suas responsabilidades de seguran?a da informa??o.

Pessoal

Papéis e Responsabilidades

Mantemos fun??es e responsabilidades claramente definidas para todas as atividades de processamento de informa??es, incluindo o gerenciamento e o controle de sistemas operacionais, a administra??o e o suporte de redes de comunica??o e o desenvolvimento de novos sistemas. As fun??es e os direitos de acesso dos operadores de computadores e administradores de sistemas s?o separados dos da equipe de desenvolvimento de redes e sistemas.

Além disso, mantemos procedimentos para:

• Supervisionar a atividade de processamento de informa??es;
• Minimizar o risco de atividade imprópria ou erro; e
• Selecionar candidatos para cargos sensíveis à seguran?a.

Treinamento

Exigimos treinamento de seguran?a baseado em fun??es e conscientiza??o sobre seguran?a. O treinamento subsequente de conscientiza??o sobre seguran?a é exigido anualmente para todos os funcionários ativos e contratados. Os funcionários em determinadas fun??es (por exemplo, representantes de suporte ao cliente, desenvolvedores e gerentes de contrata??o) recebem anualmente um treinamento de seguran?a de dados mais aprofundado e abrangente.

Gerenciamento de Identidade e Acesso

Política de acesso

Atribuímos acesso a sistemas, aplicativos e informa??es associadas de acordo com nossas políticas de acesso documentadas, que incorporam os princípios do acesso menos privilegiado. Aplicamos esses privilégios por meios automatizados. Os funcionários devem obter autoriza??o antes de obter acesso ao sistema. Usamos técnicas seguras para fun??es de comando e controle (por exemplo, TLS, SSH ou VPN).

笔谤颈惫颈濒é驳颈辞蝉

Os mecanismos de acesso operam com seguran?a e est?o de acordo com as boas práticas de seguran?a (por exemplo, n?o exibi??o de senhas, armazenamento de senhas de forma criptografada). Os procedimentos de autoriza??o s?o formalmente definidos e est?o em conformidade com as disciplinas padr?o comerciais, incluindo:

• Estabelecer um controle maior sobre a quest?o dos privilégios de acesso especial; e
• Garantir o encerramento de autoriza??es que n?o s?o mais necessárias.

Autentica??o

Usamos práticas padr?o do setor para identificar e autenticar usuários autorizados. Alinhamos nossos métodos de autentica??o com o risco comercial (ou seja, a autentica??o forte é aplicada a usuários de “alto risco”). As senhas s?o gerenciadas de acordo com os padr?es do setor.

O processo de logon apoia a responsabilidade individual e imp?e disciplinas de acesso que incluem:

• Supress?o de informa??es que poderiam facilitar o uso n?o autorizado;
• Validar as informa??es de logon somente depois que todas elas tiverem sido inseridas;
• Desconectar usuários após um número definido de tentativas de logon sem sucesso; e
• Exigir que as senhas sejam alteradas periodicamente.

Registros de acesso

Mantemos registros de infraestrutura e de acesso projetados para fornecer informa??es suficientes para permitir o diagnóstico de eventos de interrup??o e estabelecer a responsabilidade individual. Usamos ferramentas de monitoramento para analisar dados de registro selecionados com atividades an?malas, como acesso n?o autorizado ou altera??es, e para nos alertar sobre essas atividades an?malas.

Arquitetura de Seguran?a

Desenvolvemos e aplicamos uma arquitetura de seguran?a através de nossos recursos de informa??o. A arquitetura compreende um conjunto definido de mecanismos de seguran?a e padr?es de suporte. A arquitetura:

• Oferece suporte a recursos de informa??o que exigem diferentes níveis de prote??o;
• Permite o fluxo seguro de informa??es dentro e entre ambientes técnicos;
• Fornece aos usuários autorizados um meio eficiente de obter acesso aos recursos de informa??o em diferentes ambientes técnicos; e
• Permite que os privilégios de acesso de usuários individuais sejam revogados quando os usuários saem ou mudam de emprego.

Mantemos um inventário de nossos ativos de informa??es essenciais e dos aplicativos usados para processá-los. Realizamos avalia??es de risco de seguran?a das informa??es sempre que há uma mudan?a significativa em nossas práticas comerciais ou tecnológicas que possa afetar a seguran?a, a privacidade, a confidencialidade, a integridade ou a disponibilidade dos Dados.

Físico e Ambiental

Acesso físico

Asseguramos que nossos fornecedores terceirizados de centros de dados tenham adotado medidas de prote??o contra perda ou danos aos equipamentos e instala??es que usamos para hospedar os Dados, inclusive por meio de:

• Restringir o acesso físico ao pessoal autorizado; e
• Garantir a presen?a da equipe de seguran?a, quando apropriado.

Prote??o contra Interrup??o

Nossos ambientes de produ??o utilizam equipamentos especializados para:

• Proteger contra interrup??es/falhas de energia;
• Permitir a recupera??o rápida dos ativos em caso de interrup??o;
• Proteger a energia, a infraestrutura de rede e os sistemas essenciais contra danos ou comprometimento; e
• Proteger os edifícios contra desastres naturais ou ataques deliberados.

Gest?o de Sistemas e Redes de Comunica??o

Firewalls

Implementamos tecnologias de firewall padr?o do setor. Adotamos procedimentos para gerenciar as regras de firewall (mecanismo de controle de acesso) e as altera??es nas regras.

Os recursos informativos usados para fins de produ??o s?o separados daqueles usados para desenvolvimento de sistemas ou testes de aceita??o.

Gerenciamento de antivírus/antimalware

Implementamos softwares atualizados e procedimentos relacionados com o objetivo de detectar e evitar a prolifera??o de vírus e outras formas de código malicioso. Esses controles se aplicam somente a ambientes internos de computa??o usados no desenvolvimento e fornecimento de nossos aplicativos hospedados. Os servi?os de detec??o de intrus?o baseados em rede e host s?o usados para proteger sistemas críticos, inclusive sistemas conectados à Internet.

Política de uso aceitável

• O uso da Internet é regido por políticas e padr?es claros que se aplicam a toda a empresa.

Nega??o de servi?o

Garantimos que nossos provedores de infraestrutura de data center tenham adotado e implementado contramedidas adequadas para ataques de nega??o de servi?o.

Sanitiza??o e Remo??o de Mídias

Utilizamos processos e tecnologias padr?o do setor para excluir permanentemente os Dados quando eles n?o forem mais necessários ou autorizados.

Criptografia

Usamos protocolos de transporte criptografado padr?o do setor, com um mínimo de Transport Layer Security (TLS) v1.2, para dados em tr?nsito em uma rede n?o confiável. Criptografamos os dados em repouso usando a criptografia AES (Advanced Encryption Standard) 256 ou um algoritmo equivalente.

Teste de Penetra??o e Vulnerabilidade

Temos monitoramento de aplicativos, bancos de dados, redes e recursos para identificar quaisquer vulnerabilidades e proteger nossos aplicativos. Nossas solu??es passam por testes internos de vulnerabilidade antes de serem lan?adas. Criamos nossos próprios sistemas internos de teste de penetra??o e realizamos avalia??es de vulnerabilidade em nosso software usando métodos automatizados e manuais, pelo menos anualmente.

Contratamos anualmente especialistas em seguran?a terceirizados para realizar testes de vulnerabilidade e penetra??o em nossos sistemas. Os sistemas voltados para a Internet s?o examinados regularmente em busca de vulnerabilidades.

Continua??o de Negócios e Recupera??o de Desastres

Nossas solu??es s?o projetadas para evitar pontos únicos de falha a fim de reduzir a chance de interrup??o dos negócios. Mantemos processos de recupera??o formalmente documentados que podem ser ativados no caso de uma interrup??o significativa dos negócios, tanto para nossa infraestrutura de TI corporativa quanto para a infraestrutura de produ??o que processa os dados de nossos clientes. Realizamos testes, pelo menos anualmente, para verificar a validade dos processos de recupera??o.

Também implementamos várias medidas de recupera??o de desastres para minimizar a perda de dados no caso de um único desastre no data center. Arquitetamos nossas solu??es usando configura??es redundantes para minimizar as interrup??es de servi?o. Monitoramos continuamente nossas solu??es em busca de qualquer sinal de falha ou falha pendente e tomamos medidas preventivas para tentar minimizar ou evitar o tempo de inatividade.

Resposta a incidentes

Os incidentes s?o gerenciados por uma equipe dedicada, de acordo com uma política e um processo formal de resposta a incidentes. Nossa equipe é treinada para comunicar imediatamente qualquer incidente de seguran?a. Fornecemos uma página da Web pública de “” que exibe as próximas paradas de manuten??o, incidentes de data center e comunica??es de seguran?a.

Ciclo de Vida de Desenvolvimento de Software

Mantemos processos e controles de ciclo de vida de desenvolvimento de software padr?o do setor que regem o desenvolvimento e as altera??es em nosso software, inclusive todas as atualiza??es, upgrades e patches. Nosso processo inclui práticas seguras de desenvolvimento de software e análises e testes de seguran?a de aplicativos.

Fornecedores

Usamos data centers de terceiros, servi?os baseados em nuvem e outros fornecedores em nossas opera??es e para fornecer solu??es aos nossos clientes. Exigimos que esses fornecedores celebrem contratos downstream conosco, como contratos de confidencialidade, contratos de processamento de dados, contratos de associa??o comercial e similares, conforme apropriado, com base no tipo de servi?os que prestam e no tipo de informa??es às quais têm acesso. Exigimos que nossos fornecedores preencham questionários de seguran?a de dados e realizamos avalia??es de risco para garantir a competência e a adequa??o de seu programa de seguran?a. Aplicamos uma abordagem baseada em riscos para revisar periodicamente a postura de seguran?a de nossos fornecedores.

Cada um de nossos fornecedores mantém seus próprios programas de seguran?a. Esta vis?o geral n?o descreve o programa de seguran?a de nenhum de nossos fornecedores.

Certifica??es

ISO (Organiza??o Internacional de Normaliza??o) 27001

Controles de Organiza??o de Servi?os

Mantemos um certificado de Hospedagem de Dados de Saúde (HDS), conforme exigido para todas as entidades que hospedam dados pessoais de saúde de acordo com a legisla??o francesa pela Lei n°2002-303 de 4 de mar?o de 2002. Essa certifica??o abrange os produtos 吃瓜爆料 descritos em nosso certificado e é aplicável somente a dados de saúde produzidos na Fran?a no contexto da presta??o de servi?os de saúde, conforme definido pelo Artigo L.1111-8 do Código de Saúde Pública da Fran?a. Os clientes que confiam nesse certificado devem estar em conformidade com a PGSSI-S (Política Global de Seguran?a da Informa??o para o Setor de Saúde), que define os padr?es de seguran?a para servi?os de saúde eletr?nica.

Informa??es sobre a conformidade da 吃瓜爆料 com o Requisito HDS n? 31 est?o disponíveis aqui: veeva.com/privacy/hds-compliance/.

ISO (Organiza??o Internacional de Normaliza??o) 9001

Mantemos a certifica??o ISO 9001 para o nosso Sistema de Gest?o da Qualidade. Esta certifica??o abrange os produtos 吃瓜爆料 descritos no nosso certificado. A ISO 9001 garante a qualidade consistente dos nossos produtos e servi?os através de uma estrutura baseada no foco no cliente, na tomada de decis?es baseada no risco e na melhoria contínua. Exige uma abordagem de processo sistemática que alinhe a lideran?a e as opera??es com as necessidades de todas as partes interessadas.

Certifica??es GxP independentes

Contratamos especialistas externos em auditoria GxP na área de conformidade em ciências da vida para fornecer relatórios de auditoria independentes dos controles 吃瓜爆料 QMS e MSA. Essas certifica??es com foco em GxP podem fornecer aos clientes uma vis?o abrangente dos processos e da conformidade da 吃瓜爆料 a partir de uma perspectiva independente. Relatórios de auditoria GxP independentes podem ser adquiridos em:

Rx-360 –

USDM – contact enorthigton@usdm.com

Diligent Pharma – Acesse o relatório em