Segurança da informação na Looplex
A segurança da informação na Looplex abrange os documentos e dados da organização, os acessos à plataforma, suas integrações e os trabalhos executados por pessoas e agentes de inteligência artificial. Os controles acompanham o ciclo de vida dessas informações, desde sua entrada até o compartilhamento, a retenção e a eliminação.
A proteção combina arquitetura, desenvolvimento seguro e operação contínua. A plataforma aplica controles comuns aos serviços e permite adequações conforme o produto, a implantação e as necessidades da organização.
Organização das operações de segurança
As operações de segurança, ou SecOps, integram prevenção, monitoramento e tratamento de riscos à operação da plataforma. A equipe de segurança trabalha com desenvolvimento, infraestrutura e responsáveis pelos produtos para avaliar mudanças, corrigir vulnerabilidades e acompanhar os serviços.
As funções de um centro de operações de segurança, ou SOC, incluem acompanhar eventos, investigar sinais de comprometimento e coordenar as primeiras medidas de contenção. A resposta a incidentes mobiliza uma equipe com as competências necessárias, também denominada CSIRT. A composição dessa equipe varia conforme o evento, enquanto as responsabilidades, os canais de acionamento e os procedimentos de resposta permanecem definidos.
Controles padrão da plataforma
A Looplex aplica controles de identidade e autorização, separação lógica entre organizações, gestão de credenciais, desenvolvimento seguro e registro de eventos relevantes. O acesso aos recursos considera a identidade utilizada, a organização e as permissões atribuídas à operação.
As comunicações utilizam proteção criptográfica. Os controles sobre dados armazenados, ambientes e infraestrutura seguem a natureza do serviço e os recursos da implantação. A proteção inclui gestão de configurações, avaliação de dependências e tratamento de vulnerabilidades conforme criticidade e exposição.
A operação acompanha indicadores de disponibilidade, falhas e eventos de segurança. Os registros apoiam a investigação e a identificação de padrões de abuso, com acesso restrito e retenção adequada à sua finalidade.
Os trabalhos de IA participam desse mesmo modelo de controle. O acesso a documentos, o uso de ferramentas e as ações de agentes ficam sujeitos às permissões e às políticas aplicáveis à execução.
Configurações da organização
A organização define os usuários, grupos, papéis e acervos disponíveis para cada atividade. Conforme o produto e a implantação, também configura integrações de identidade, requisitos de autenticação, ferramentas habilitadas, aprovações e regras de compartilhamento.
Condições específicas de localização de dados, conectividade, retenção adicional, continuidade e recuperação são definidas na solução contratada. Os objetivos de recuperação e a disponibilidade seguem o produto e o SLA aplicável.
Responsabilidades do cliente
Cabe ao cliente manter seus usuários e permissões atualizados, proteger as credenciais sob sua administração e estabelecer critérios de acesso e compartilhamento compatíveis com a sensibilidade das informações.
A organização também administra seus dispositivos, sistemas de origem e integrações sob sua responsabilidade. Deve definir os responsáveis pelas aprovações, revisar os trabalhos com efeitos jurídicos, financeiros ou externos e comunicar suspeitas de uso indevido pelos canais de atendimento e privacidade da Looplex.
A atuação de fornecedores segue a divisão de responsabilidades de cada serviço. Controles de datacenter e de infraestrutura podem ser executados pelos provedores utilizados, enquanto a Looplex administra os componentes que integram seu escopo de operação.
Resposta a incidentes
O processo de resposta inclui identificação, triagem, contenção, investigação, comunicação, recuperação e aprendizado. A avaliação considera os recursos envolvidos, a sensibilidade das informações e o possível impacto sobre clientes e serviços.
Conforme o incidente, as medidas incluem restringir acessos, revogar credenciais, suspender uma integração ou execução, isolar componentes e preservar evidências. A recuperação é acompanhada da verificação das condições de segurança e das medidas necessárias para reduzir a possibilidade de recorrência.
A comunicação e o tratamento de incidentes com dados pessoais seguem o DPA. A integração da resposta à gestão contínua de riscos é consistente com a abordagem descrita pelo NIST para resposta a incidentes.
Documentação relacionada
O alcance das medidas, os prazos de retenção e as condições contratuais estão descritos na Nota de Medidas de Segurança Corporativas e no Adendo de Tratamento e Proteção de Dados. Os fornecedores que podem participar do tratamento estão identificados na Lista de Suboperadores.