Segurança
Onde estão os vossos dados e quem os pode ver
Uma ferramenta de comunicação interna acaba por conter recibos de vencimento, procedimentos e o que o quadro de pessoal pensa da sua empresa. Isto é o que fazemos com esses dados, em concreto.
Onde estão os dados
- Servidores na União Europeia, sem transferências para fora do EEE.
- Base de dados acessível apenas a partir do próprio servidor, nunca exposta à internet.
- Cópias de segurança dentro da mesma jurisdição.
- Sem terceiros a analisar o conteúdo das vossas comunicações.
Quem pode ver o quê
- Cada consulta à base de dados leva o identificador da empresa: um dado de outra organização não existe para a vossa sessão.
- Seis papéis com alcances diferentes, e as salvaguardas verificadas no servidor, não apenas no ecrã.
- Os ficheiros não são públicos: cada descarregamento volta a verificar a sessão e a pertença.
- Registo de auditoria de adesões, saídas, mudanças de papel e aprovações.
Credenciais e sessões
- As palavras-passe não são guardadas: guarda-se um derivado com scrypt e sal por utilizador.
- O identificador de sessão é guardado cifrado; um despejo da tabela não permite fazer-se passar por ninguém.
- Bloqueio temporário ao fim de várias tentativas falhadas.
- Ao mudar a palavra-passe, as sessões abertas noutros dispositivos são encerradas.
Anonimato nos inquéritos
- Quando um inquérito é marcado como anónimo, a resposta é guardada sem qualquer ligação à pessoa.
- Nem um administrador nem nós conseguimos reconstruir quem respondeu o quê.
- Em troca perde-se o detalhe por departamento, e isso é avisado no próprio ecrã.
- É a única forma de um inquérito de clima organizacional servir para alguma coisa.
Infraestrutura e subcontratantes
Os servidores da Blastack estão alojados por terceiros, e cada um desses terceiros tem as suas próprias certificações. Aqui fica quem é quem e que papel tem cada um, com o nome do titular à frente de cada certificado para que se possa verificar pelo seu número de registo.
Fornecedor da infraestrutura
Hostinger International Limited
- Hostinger International Limited é a sociedade com quem está assinado o contrato de subcontratação, e a titular do sistema autónomo a que pertence o servidor.
- Hostinger International Limited está certificada segundo a ISO/IEC 27001:2022. A auditoria é assinada pela TÜV Thüringen.
- O âmbito dessa certificação é o de Hostinger International Limited: a sua infraestrutura e os seus processos.
Verifica-se sem passar por nós, no seu centro de confiança: trust.hostinger.com.
Operador do centro de dados
Digital Realty
- O edifício onde estão os servidores é um centro de dados da Digital Realty em Paris (França, União Europeia).
- A Digital Realty tem para esse centro as certificações ISO 27001, ISO 14001 e ISO 50001.
- É quem opera o edifício e as suas instalações. Não é o fornecedor do servidor nem intervém no serviço.
Cada certificação desta secção pertence à empresa nomeada mesmo por cima, e cobre a sua própria infraestrutura. O titular vai à frente de propósito: um certificado sem titular não se pode verificar, e num concurso isso vale o mesmo que não trazer nenhum.
O que ainda não temos
Preferimos dizê-lo aqui a que o descubram numa reunião. Hoje não temos certificação ISO 27001 nem relatório SOC 2 Tipo II; não temos verificação em dois passos própria, embora quem entre com a conta da sua empresa passe pelo acesso condicional do seu fornecedor; e não falamos SAML 2.0 —o início de sessão único vai por OpenID Connect, que cobre o Microsoft Entra ID, o Google Workspace e o Okta, mas se o vosso caderno de encargos exigir SAML por escrito, isso não temos—. Estão no plano de trabalho, sem data assumida.
Se alguma dessas três for imprescindível para vocês, falem connosco e dizemos-vos por onde anda.
A lista inteira do que hoje não fazemos, com o pormenor de cada coisa, está nas perguntas frequentes.
Dúvidas concretas do vosso departamento de sistemas de informação?
Respondemos a questionários de segurança sem problema. Escrevam e respondemos por escrito.